Rapport d’enquête sur la sécurité du transport aérien A20O0029

Le 7 mars 2020, à 9 h 48, heure normale de l’Est, un aéronef Embraer ERJ 190-100 IGW (Embraer 190) (immatriculation C-FMZW, numéro de série 19000124), exploité par Air Canada sous le numéro de vol ACA1037, avec à son bord 83 passagers et 4 membres d’équipage, effectuait un décollage de la piste 06L à l’aéroport international Lester B. Pearson de Toronto (Ontario). Peu après le début de la course au décollage de l’Embraer 190, un aéronef Boeing 777-333ER (Boeing 777) (immatriculation C-FJZS, numéro de série 62400), exploité par Air Canada sous le numéro de vol ACA606, a reçu l’instruction de s’aligner sur la piste 06L. Il y avait 345 passagers et 14 membres d’équipage à bord.

Pendant qu’il accélérait durant la course au décollage, l’Embraer 190 a heurté un oiseau. L’équipage de conduite a amorcé un décollage interrompu et a effectué un appel radio pour signaler qu’il interrompait le décollage. Ni le personnel de contrôle de la circulation aérienne ni l’équipage de conduite du Boeing 777 n’ont entendu l’appel radio parce que l’équipage du Boeing 777 relisait son autorisation de décollage sur la même fréquence.

Alors que le Boeing 777 accélérait pendant sa course au décollage, l’équipage de conduite a remarqué que l’Embraer 190 était toujours sur la piste et a amorcé un décollage interrompu. Les deux aéronefs ont par la suite dégagé la piste et sont retournés à l’aérogare. Il n’y a eu aucun blessé. Aucun des deux aéronefs n’a été endommagé.

L’Organisation de l’aviation civile internationale (OACI) et Transports Canada (TC) définissent une incursion sur piste ainsi :

[t]oute situation se produisant sur un aérodrome, qui correspond à la présence inopportune d’un aéronef, d’un véhicule ou d’une personne dans l’aire protégée d’une surface destinée à l’atterrissage et au décollage d’aéronefs ^{Note de bas de page 1},^{Note de bas de page 2}.

Cette définition est souvent accompagnée de la précision suivante :

[traduction] cette « présence inopportune » peut être la conséquence du non-respect, par un pilote [ou un conducteur de véhicule], d’une autorisation ATC [contrôle de la circulation aérienne] valide ou du respect d’une autorisation ATC inappropriée ^{Note de bas de page 3}.

Le paragraphe 602.19(10) du Règlement de l’aviation canadien stipule ce qui suit :

Il est interdit d’effectuer ou de tenter d’effectuer le décollage ou l’atterrissage d’un aéronef lorsqu’il existe un risque apparent d’abordage avec un autre aéronef, une personne, un navire, un véhicule ou une structure sur la trajectoire de décollage ou d’atterrissage ^{Note de bas de page 4}.

1.1 Déroulement de l’événement

Le 7 mars 2020, à 6 h 15^{Note de bas de page 5}, le contrôleur de la circulation aérienne s’est présenté à la tour de contrôle de l’aéroport international Lester B. Pearson de Toronto (CYYZ) (Ontario) et a commencé son quart de travail. Ce matin-là, le contrôleur a occupé successivement différents postes de contrôleur et, vers 9 h 30, il a assumé le poste combiné de contrôleur tour nord et tour sud (poste tour nord/sud combiné). Il a donc commencé à contrôler les aéronefs exploités sur les pistes 05 et 06L. Les bulletins météorologiques locaux indiquaient des conditions météorologiques de vol à vue, et la circulation était modérée, avec un petit nombre d’aéronefs à l’arrivée, mais une file constante d’aéronefs en attente pour le départ. Pour accélérer les départs, le contrôleur utilisait les procédures d’espacement visuel au départ décrites dans le Manuel des services de la circulation aérienne (MATS) de NAV CANADA^{Note de bas de page 6}. À 9 h 45, le contrôleur avait déjà coordonné 5 arrivées, 2 départs de la piste 05 et 14 départs de la piste 06L.

À 9 h 48 min 4 s, un aéronef Embraer ERJ 190-100 IGW (Embraer 190) (immatriculation C-FMZW, numéro de série 19000124) exploité par Air Canada sous le numéro de vol ACA1037 à destination de l’aéroport international de Denver (KDEN), au Colorado (États-Unis), a été autorisé à décoller de la piste 06L. Dès que l’Embraer 190 a commencé sa course au décollage, un aéronef Boeing 777-333ER (Boeing 777) (immatriculation C-FJZS, numéro de série 62400) exploité par Air Canada sous le numéro de vol ACA606 à destination de l’aéroport international Stanfield d’Halifax (CYHZ) (Nouvelle-Écosse), a reçu l’instruction de s’aligner sur la piste 06L.

À 9 h 48 min 27 s, l’Embraer 190 a atteint une vitesse de 50 KIAS (vitesse indiquée en nœuds)^{Note de bas de page 7} et a continué d’accélérer. Trois secondes plus tard, l’étiquette de suivi du système avancé de guidage et de contrôle de la circulation de surface (A-SMGCS) apparaissant à l’écran d’affichage du poste de travail du contrôleur (CWP) indiquait que l’Embraer 190 était en vol^{Note de bas de page 8} avec une étiquette d’altitude de 500 pieds au-dessus du niveau de la mer (ASL) (indiqué comme A005) (figures 1 à 3)^{Note de bas de page 9}. Cependant, l’aéronef était toujours au sol à ce moment-là.

À 9 h 48 min 47,7 s, alors que l’Embraer 190 accélérait pendant sa course au décollage, le premier officier a vu un oiseau passer près de l’aéronef. Le commandant de bord a aussi vu l’oiseau passer devant sa fenêtre, l’a entendu heurter le fuselage juste en dessous de sa fenêtre latérale et derrière celle-ci, et a craint qu’il serait projeté dans le moteur de gauche. Redoutant que l’aéronef ne puisse pas voler en toute sécurité, le commandant de bord a décidé d’interrompre le décollage. À ce moment-là, l’Embraer 190 se déplaçait à 139 KIAS (vitesse sol de 131 nœuds), juste en dessous de la vitesse V₁ calculée de 146 KIAS. Une seconde et demie après l’impact d’oiseau, le commandant de bord de l’Embraer 190 a amorcé le décollage interrompu. L’Embraer 190 a atteint une vitesse sol maximale de 139 nœuds avant de décélérer. L’interruption de décollage a été exécutée conformément au Air Canada E190 Airplane Operating Manual (AOM).

À 9 h 48 min 48,7 s, n’étant pas conscient de l’impact d’oiseau ni du décollage interrompu de l’Embraer 190, le contrôleur a délivré une autorisation de décollage au Boeing 777.

À 9 h 48 min 53,4 s, le premier officier de l’Embraer 190 a effectué un appel radio pour indiquer que l’équipage interrompait le décollage. À 9 h 48 min 53,5 s, le premier officier du Boeing 777 a commencé à relire l’autorisation de décollage sur la même fréquence. Personne n’a remarqué les transmissions radio simultanées : le contrôleur a entendu la relecture de l’autorisation de décollage par l’équipage de conduite du Boeing 777, mais ni le contrôleur ni l’équipage de conduite du Boeing 777 n’ont entendu l’appel radio de l’Embraer 190 signalant le décollage interrompu. Au moment des transmissions radio simultanées, l’Embraer 190 se trouvait à 5000 pieds du début de la piste et décélérait rapidement. À 9 h 48 min 55 s, le Boeing 777 a commencé sa course au décollage.

Au cours des 25 secondes suivantes, le contrôleur a porté son attention sur l’extrémité nord de l’aéroport, où 2 aéronefs étaient en approche vers la piste 05, et sur les écrans d’affichage de son CWP à deux reprises avant de reporter son attention sur le seuil de la piste 06L, à l’extrémité sud de l’aéroport. En tenant compte du débit des départs, le contrôleur a donné l’instruction à un 3^e aéronef, un de Havilland DHC-8 exploité par Jazz Aviation LP (vol JZA28), de s’aligner sur la piste 06L. Depuis ses écrans, il pouvait voir le Boeing 777 et l’Embraer 190, mais il ne voyait aucun conflit à ce moment-là (voir à la figure 1 une capture d’écran de l’affichage du CWP, et à la section 1.10 des renseignements sur le champ de vision du contrôleur vers les pistes 05 et 06L depuis la tour de contrôle). Pendant ce temps, le Boeing 777 était à 80 KIAS en accélération lorsque son équipage de conduite a remarqué que l’Embraer 190 était toujours sur la piste devant lui.

À 9 h 49 min 24 s, l’équipage de conduite du Boeing 777 a amorcé un décollage interrompu à 127 KIAS (vitesse sol de 118 nœuds), conformément à la procédure indiquée au Air Canada B777 Airplane Operating Manual (AOM). Le Boeing 777 a atteint 133 KIAS (vitesse sol de 125 nœuds) avant de décélérer. La vitesse V₁ calculée était de 156 KIAS. Quelques secondes plus tard, l’équipage de conduite déclarait par radio qu’il interrompait le décollage. À ce moment-là, l’espacement entre les 2 aéronefs était de 5000 pieds.

À 9 h 49 min 36 s, le Boeing 777 a décéléré jusqu’à une vitesse sol de 50 nœuds. Le contrôleur a confirmé le décollage interrompu avec l’équipage de conduite et, n’étant toujours pas au courant de la présence de l’Embraer 190 sur la piste, a attendu pour fournir de l’aide au Boeing 777. À 9 h 49 min 42 s, après avoir cherché l’Embraer 190 à la position où il était censé se trouver (en vol, à l’extrémité départ de la piste), le contrôleur a vu qu’il se trouvait sur la piste, et s’est rendu compte qu’il avait également effectué un décollage interrompu. Le contrôleur a alors communiqué avec l’équipage de conduite de l’Embraer 190.

Au cours de cet événement, les étiquettes de suivi des cibles radar de l’Embraer 190 et du Boeing 777 de l’A-SMGCS ont automatiquement changé pour indiquer que les aéronefs étaient en vol avant d’indiquer de nouveau qu’ils étaient au sol (tableau 1).

Tableau 1. Moments où les changements d’état de vol de l’Embraer 190 et du Boeing 777 se sont affichés sur le système avancé de guidage et de contrôle de la circulation de surface

Heure	Aéronef	État de vol
9 h 48 min 30 s	Embraer 190	en vol
9 h 49 min 20 s	Boeing 777	en vol*
9 h 49 min 22 s	Embraer 190	au sol**
9 h 49 min 43 s	Boeing 777	au sol

* À ce moment-là, les étiquettes de suivi indiquaient que le Boeing 777 (ACA606) accélérait et était en vol à une vitesse de 100 nœuds. L’Embraer 190 (ACA1037) décélérait, mais il était représenté comme étant en vol à une vitesse de 51 nœuds.
** L’étiquette de suivi indiquait, à ce moment-là, que l’Embraer 190 était au sol et qu’il avait décéléré à une vitesse inférieure à 48 nœuds.

En conséquence, le sous-système de surveillance des incursions sur piste et d’alerte de conflit (RIMCAS) a généré les alertes suivantes (tableau 2).

Tableau 2. Alertes générées par le sous-système de surveillance des incursions sur piste et d’alerte de conflit

Heure	Alerte	Aéronefs en conflit et positions respectives
9 h 49 min 39 s	Niveau 1	de Havilland DHC-8 Seuil de la piste 06L	Embraer 190 Extrémité départ de la piste 06L
9 h 49 min 43 s	Niveau 2*	Boeing 777 À mi-piste, piste 06L	Embraer 190 Extrémité départ de la piste 06L
9 h 49 min 45 s	Niveau 1	de Havilland DHC-8 Seuil de la piste 06L	Boeing 777 À mi-piste, piste 06L

* Ces niveaux d’alerte sont expliqués à la section 1.10.3.2.

À 9 h 49 min 53 s, l’Embraer 190 avait dégagé la piste à la voie de circulation D7, à l’extrémité de la piste, et le Boeing 777 s’était arrêté un peu après la mi-piste. L’Embraer 190 a circulé jusqu’à l’aérogare sans autre incident. Le Boeing 777 a quitté la piste, s’est engagé sur une voie de circulation et a attendu 45 minutes pour permettre aux freins de refroidir, conformément aux procédures de la compagnie, avant de retourner à l’aérogare.

La piste a été inspectée, et les restes d’un faucon ont été trouvés. La piste a ensuite été remise en service. Le contrôleur a informé son surveillant de l’incident et a été relevé de son poste par un autre contrôleur qualifié, tel qu’il est stipulé par le MATS de NAV CANADA et les procédures de la tour de contrôle de CYYZ.

1.2 Personnes blessées

Aucun des 83 passagers et 4 membres d’équipage de l’Embraer 190 et aucun des 345 passagers et 14 membres d’équipage du Boeing 777 n’ont été blessés.

1.3 Dommages aux aéronefs

Les aéronefs n’ont pas été endommagés.

1.4 Autres dommages

Sans objet.

1.5 Renseignements sur le personnel

1.5.1 Équipage de conduite

Les dossiers indiquaient que les équipages de conduite des deux aéronefs étaient titulaires des licences appropriées pour les vols, conformément aux règlements existants.

1.5.2 Personnel des services de la circulation aérienne

Le contrôleur des services de la circulation aérienne (ATS) dans cet événement possédait la licence et les qualifications nécessaires. Il était employé par NAV CANADA et travaillait à CYYZ depuis 2004 et était un contrôleur d’expérience et un instructeur. Cependant, il n’avait jamais vu un décollage interrompu à grande vitesse, que ce soit en tant que contrôleur ou instructeur. Au moment de l’événement, le contrôleur était debout alors qu’il exerçait ses fonctions au poste tour nord/sud combiné.

Le contrôleur a coordonné les mouvements de 21 aéronefs à partir du moment où il a accepté la responsabilité du poste combiné vers 9 h 30 jusqu’à ce qu’il soit relevé après l’événement. Par la suite, NAV CANADA a évalué le volume de la circulation comme étant moyen et la charge de travail comme étant quelque peu complexe au moment de l’événement^{Note de bas de page 10}.

Tableau 3. Renseignements sur le contrôleur

Poste du contrôleur	Poste tour nord/sud combiné
Licence/annotation	Aéroport CYYZ
Date d’expiration du certificat médical	30 avril 2020
Expérience comme contrôleur	17 ans
Expérience dans la présente unité	15 ans
Heures de service avant l’événement	3 heures
Heures hors service avant la période de travail	12 heures

1.6 Renseignements sur les aéronefs

1.6.1 Embraer ERJ 190-100 IGW

Au moment de l’événement, Air Canada utilisait l’Embraer 190 pour les vols intérieurs et internationaux moyen-courriers. Rien n’a été signalé pour indiquer le mauvais fonctionnement de systèmes avant l’événement.

L’Embraer 190 est équipé de la suite avionique Primus Epic de Honeywell, qui est un ensemble intégré de modules avioniques comprenant le transpondeur mode S modèle XS-857A de Honeywell.

1.6.2 Boeing 777-333ER

Air Canada utilise le Boeing 777 pour les vols intérieurs et internationaux long-courriers. Rien n’a été signalé pour indiquer le mauvais fonctionnement de systèmes avant l’événement.

1.7 Renseignements météorologiques

Le message d’observation météorologique régulière d’aérodrome de CYYZ émis à 9 h indiquait des conditions météorologiques de vol à vue avec un vent variable de 6 nœuds, une visibilité de 15 milles terrestres, quelques nuages à 25 000 pieds, une température de −5 °C et un point de rosée de −12 °C. Les conditions météorologiques et la visibilité n’ont pas été un facteur dans cet événement.

1.8 Aides à la navigation

Sans objet.

1.9 Communications

1.9.1 Généralités

Les contrôleurs de la circulation aérienne de la tour de contrôle de CYYZ suivent les directives en matière de communication et de phraséologie énoncées dans le MATS et dans le Toronto Control Tower Unit Operations Manual de NAV CANADA.

1.9.2 Transmissions simultanées non détectées

L’Organisation européenne pour l’équipement de l’aviation civile (EUROCAE) décrit les transmissions radio simultanées comme suit :

[traduction] Des situations se présentent lorsque deux ou plusieurs transmissions radio sont émises simultanément sur la même fréquence. Dans ce contexte, on entend par « simultanées » deux ou plusieurs transmissions qui se chevauchent de telle manière que le contrôleur ne sait pas que plus d’une transmission a été émise, ce qui entraîne un danger potentiel pour la sécurité^{Note de bas de page 11}.

Les transmissions simultanées non détectées sont fréquentes dans le secteur de l’aviation. La réception d’un signal dépend de la qualité du signal radio émis, laquelle repose sur la puissance du signal, la distance entre les émetteurs et les récepteurs, la portée optique et d’autres facteurs. Un signal fort émis par un aéronef proche peut facilement masquer ou bloquer un signal plus faible émis par un autre aéronef plus éloigné.

Il existe 3 types de chevauchements de signaux : brouillé, partiel et complet. Dans le cas d’un chevauchement complet,

[traduction] le signal le plus fort couvre totalement le plus faible (sans détection) […]. Bien que les deux signaux soient émis, les lois de la physique font que le récepteur élimine le signal le plus faible, de sorte qu’un seul signal est transmis à (ou reçu par) l’ATCO [le contrôleur de la circulation aérienne]. Bien qu’un certain brouillage puisse être entendu dans ces circonstances, selon le type d’équipement et l’architecture de l’émetteur-récepteur radio, on peut s’attendre à ce qu’il ne soit pas (ou guère) détectable^{Note de bas de page 12}.

1.10 Renseignements sur l’aérodrome

1.10.1 Aéroport international Lester B. Pearson de Toronto

CYYZ est exploité par l’Autorité aéroportuaire du Grand Toronto et dispose de 5 pistes au total : 05/23, 06L/24R, 06R/24L, 15R/33L et 15L/33R.

1.10.1.1 Tour de contrôle de NAV CANADA

La tour de contrôle de NAV CANADA à CYYZ se trouve plus ou moins au centre du terrain d’aviation et offre une vue d’ensemble de l’aire de manœuvre. CYYZ étant un grand aéroport, certaines parties de l’aire de manœuvre sont relativement éloignées de la tour. Les distances entre la tour et les différents endroits du terrain d’aviation sont à l’intérieur des limites de la vision normale d’une personne, mais des jumelles se trouvent dans la cabine de la tour^{Note de bas de page 13} si elles sont nécessaires.

1.10.1.2 Postes de travail du contrôleur

Au moment de l’événement, 4 des 9 postes dans la tour étaient occupés :

• poste tour nord/sud combiné (le contrôleur dans l’événement travaillait à ce poste);
• poste de contrôle sol nord;
• poste de délivrance des autorisations;
• poste de contrôle sol sud (le surveillant de quart travaillait à ce poste).

Les CWP sont équipés pour pouvoir surveiller et contrôler les véhicules au sol et les aéronefs au sol et en vol et communiquer avec ceux-ci. Chaque poste dispose d’un A-SMGCS et du système intégré d’affichage de l’information (IIDS), qui comprend le système d’affichage amélioré (EXCDS), le système d’affichage de l’information opérationnelle (OIDS) et le système auxiliaire d’affichage radar de NAV CANADA (NARDS). Chaque poste dispose également de commandes du balisage lumineux d’aéroport, d’écrans d’affichage du vent et des données altimétriques, et de commandes radio.

1.10.1.3 Position et responsabilités du poste tour nord/sud combiné

Lorsque tous les postes de contrôle sont occupés, le contrôleur tour nord est responsable des arrivées et des départs sur la piste 05/23 et la piste 15L/33R, et le contrôleur tour sud est responsable des arrivées et des départs sur la piste 06L/24R, la piste 06R/24L et la piste 15R/33L. Lorsque la circulation aérienne et la charge de travail le permettent, un seul contrôleur peut assumer les responsabilités de ces deux postes tour dans un poste combiné^{Note de bas de page 14},^{Note de bas de page 15}.

Au moment de l’événement, les opérations à postes combinés étaient en vigueur; la piste 05 et la piste 06L étaient en service et utilisées pour les départs et les arrivées, et le contrôleur avait assumé la responsabilité des postes tour nord et tour sud. Il se tenait debout au poste tour nord dans la cabine de la tour. Ce poste est généralement utilisé pour les opérations à postes combinés, car il est considéré comme un meilleur poste pour voir, coordonner et résoudre la congestion du trafic d’arrivée sur la piste 05.

Les champs de vision^{Note de bas de page 16} vers les pistes 05 et 06L vont dans des directions opposées (figure 4).

Lorsqu’il est assis au poste tour nord, le contrôleur fait face à la piste 05 et a une vue dégagée de la piste ainsi que de tout l’équipement et des écrans du CWP. Pour voir les pistes 06L/24R et 06R/24L, le contrôleur doit soit se tourner dans son fauteuil, soit se lever et se retourner dans la direction opposée, en se détournant du CWP. Au moment de l’événement, le contrôleur était debout. Pour voir les pistes 06L/24R et 06R/24L, il a dû tourner son corps dans la direction opposée, en se détournant du CWP. Il a ensuite dû regarder au-delà d’autres personnes (qui pouvaient être assises ou debout à tout moment) et d’autres CWP, ainsi que des poutres de soutien du toit, pour voir les aéronefs exploités sur les pistes sud (figure 5). Une partie de l’extrémité départ de la piste 06L ne peut pas être vue de ce poste parce qu’une poutre de soutien du toit de la cabine et une partie de l’infrastructure de porte de l’aérogare 1 gênent la vue. Cependant, lorsqu’il est assis au poste tour sud, le contrôleur fait face aux pistes 06L/24R et 06R/24L et a une vue dégagée de celles-ci ainsi que de tout l’équipement et des écrans du CWP.

1.10.2 Système avancé de guidage et de contrôle de la circulation de surface

Le volume IV de l’Annexe 10 à la Convention relative à l’aviation civile internationale de l’OACI décrit les normes et pratiques recommandées (SARP) internationales en matière de systèmes de surveillance et anticollision, et comprend notamment un chapitre sur les systèmes de multilatération^{Note de bas de page 17}.

Des directives supplémentaires et les exigences opérationnelles pour l’A-SMGCS sont incluses dans le Manuel sur les systèmes perfectionnés de guidage et de contrôle des mouvements à la surface (A-SMGCS) de l’OACI, qui a pour but

[d’aider] les constructeurs et les exploitants, ainsi que les services de certification, à élaborer et à mettre en service l’A-SMGCS en tenant compte des circonstances locales et aussi de l’interopérabilité mondiale nécessaire des opérations de l’aviation civile internationale. Les normes et pratiques recommandées (SARP) de l’OACI devraient aussi être prises en compte à tous les stades de la mise en œuvre de l’A-SMGCS^{Note de bas de page 18}.

L’OACI définit un A-SMGCS comme suit :

Système fournissant des indications d’acheminement (de routage), de guidage et de contrôle des aéronefs et des véhicules pour préserver le flux des mouvements sol déclaré dans toutes les conditions météorologiques comprises dans le niveau opérationnel de visibilité d’aérodrome (AVOL) en maintenant le degré de sécurité requis^{Note de bas de page 19}.

D’autres documents de l’OACI et de l’EUROCAE traitent également de l’A-SMGCS^{Note de bas de page 20}. Bien que les SARP de l’OACI ne soient pas nécessairement utilisées comme exigences réglementaires ou de certification, ces manuels d’orientation et leurs recommandations sont largement adoptés par les États membres de l’OACI et les organisations qui supervisent les ATS.

Au Canada, le Règlement de l’aviation canadien fait référence à l’Annexe 10 de l’OACI au paragraphe 802.02(1), qui énonce uniquement :

1. (1) La personne qui exploite tout équipement qui fait partie d’un système de télécommunications aéronautiques visé à l’annexe 10 de la Convention doit s’assurer que :
   1. a) l’équipement est installé, fait l’objet d’une maintenance et est exploité conformément aux normes précisées à l’annexe 10 de la Convention;
   2. b) sont tenus à jour des documents qui démontrent les moyens utilisés pour se conformer aux normes visées à l’alinéa a)^{Note de bas de page 21}.

Bien que la réglementation n’oblige pas les exploitants d’aéroport à installer et à utiliser les A-SMGCS au Canada, le facteur déterminant pour l’installation de ces systèmes est l’augmentation de la capacité des aéroports dans des conditions de visibilité réduite et le maintien des niveaux de sécurité.

La tour de contrôle de CYYZ est équipée d’un A-SMGCS NOVA 9000, fabriqué par Indra Navia AS. Cet A-SMGCS fournit aux contrôleurs un affichage en temps réel de la circulation des aéronefs et des véhicules sur les aires de manœuvre de l’aéroport. Le système s’appuie sur les données d’un radar de surveillance terminal, d’un radar des mouvements de surface et d’un système de multilatération (MLAT). Chaque CWP est doté de son propre écran A-SMGCS. Il n’existe pas de cours officiel sur l’A-SMGCS pour les contrôleurs, qui apprennent à utiliser le système par l’expérience et la formation en cours d’emploi.

1.10.3 Sous-système de surveillance des incursions sur piste et d’alerte de conflit

Le RIMCAS est un sous-système de l’A-SMGCS. Le RIMCAS fait office de filet de sécurité – il surveille la circulation des aéronefs et des véhicules sur l’aire de mouvement de l’aéroport et dans l’espace aérien environnant, détecte les situations de conflit possibles et y alerte les contrôleurs de la circulation aérienne ^{Note de bas de page 22}.

Le RIMCAS détermine les positions des cibles au sol en fusionnant les données de cible fournies par le radar des mouvements de surface et le système MLAT. Ces données sont ensuite envoyées au serveur de données de surveillance, où le RIMCAS évalue les positions des cibles et, à l’intérieur des limites des seuils configurables localement, indique les incursions et les conflits à la surface de l’aérodrome. Lorsqu’il détecte un danger, le sous-système envoie un message d’alerte au contrôleur de la circulation aérienne et identifie les cibles en cause, leurs positions et la gravité du danger^{Note de bas de page 23}. Une représentation simplifiée de l’architecture du sous-système est montrée à la figure 6.

Le RIMCAS peut donner de fausses alarmes, qui sont généralement causées par la perception erronée d’une cible par le sous-système, et des alertes indésirables ou nuisibles, qui sont générées dans des circonstances où les opérations peuvent encore se poursuivre en toute sécurité. La fréquence des fausses alarmes et des alertes nuisibles peut varier, et leur prévalence n’est pas directement enregistrée. Pour réduire la fréquence des fausses alarmes, le RIMCAS doit être configuré et optimisé en fonction des conditions propres à l’emplacement^{Note de bas de page 24}.

1.10.3.1 Logique en vol et au sol du sous-système de surveillance des incursions sur piste et d’alerte de conflit

Le RIMCAS ne détectera un conflit de départ que si les cibles (aéronefs ou véhicules) sont identifiées comme étant au sol. Par conséquent, pour que les alertes RIMCAS soient émises en temps voulu et avec précision pour les aéronefs en partance, il est primordial que l’état de ces cibles soit exact et que le sous-système les identifie comme étant au sol.

L’état en vol ou au sol d’un aéronef est envoyé au RIMCAS par le dispositif de poursuite multi-capteurs (MST), qui utilise la vitesse sol, l’accélération et le paramètre « ground bit set » (GBS) de l’aéronef^{Note de bas de page 25}. Lorsqu’un aéronef est équipé d’un transpondeur mode S, sa valeur GBS est envoyée sous la forme d’un message de réponse mode S de l’aéronef, reçue par le système MLAT, puis envoyée au MST. La logique du MST utilise plusieurs valeurs configurables de vitesse et de temps pour déterminer l’état en vol ou au sol. Au moment de l’événement, la valeur de vitesse sol pertinente pour le paramètre « Minimum speed for takeoff when GBS is OK » (vitesse minimale de décollage lorsque le GBS est bon) était réglée à 50 nœuds.

Si l’aéronef accélère et que sa vitesse est inférieure à la valeur définie pour le paramètre « Minimum speed for takeoff when GBS is OK » (50 nœuds), la cible sera considérée comme étant au sol, quelle que soit la valeur GBS de l’aéronef.

Si la vitesse de l’aéronef est supérieure à cette valeur, la valeur GBS de l’aéronef sera utilisée pour déterminer l’état en vol ou au sol, pourvu qu’elle soit disponible dans le système MLAT. L’augmentation de cette valeur a pour effet de retarder l’état en vol de l’aéronef au décollage. Ces valeurs sont établies selon les recommandations d’Indra Navia AS à la suite d’un processus de réglage et d’optimisation local avec le client, NAV CANADA^{Note de bas de page 26}.

Au cours de cet événement, l’Embraer 190 a été identifié comme étant en vol lorsqu’il a accéléré au-delà d’une vitesse sol de 50 nœuds. Le système d’aéronef qui fournit l’état de vol à bord du Boeing 777 est configuré différemment de celui de l’Embraer 190. Le Boeing 777 a été identifié comme étant en vol lorsqu’il a accéléré au-delà de 100 KIAS.

1.10.3.2 Alertes au départ générées par le sous-système de surveillance des incursions sur piste et d’alerte de conflit

Les alertes au départ sont générées sur 2 niveaux. L’alerte de niveau 1 est visuelle : elle s’affiche à l’écran A-SMGCS pour alerter les contrôleurs de l’existence d’une situation dangereuse. L’alerte de niveau 2 est à la fois visuelle et sonore : un avertissement s’affiche à l’écran A-SMGCS, et une alarme retentit dans la tour pour indiquer que le danger est critique et qu’un conflit peut être imminent. Comme les étiquettes de suivi sont petites et que les changements d’état de vol de l’aéronef à l’intérieur de l’étiquette sont difficiles à détecter, une boîte supplémentaire est affichée au-dessus de l’étiquette de suivi avec un fond de couleur jaune ou rouge pour aider à mettre en évidence l’alerte et rendre l’indice visuel de l’étiquette de suivi plus visible pour le contrôleur.

Les alertes générées par le RIMCAS, y compris les alarmes sonores, sont fournies uniquement aux contrôleurs de la circulation aérienne et visent à leur indiquer de transmettre de nouvelles instructions aux aéronefs ou aux véhicules qui sont en danger. Le système n’avertit pas directement les équipages de conduite à bord d’aéronefs.

Une alerte de niveau 1 – départ est générée quand 2 cibles ou plus se trouvent dans l’ensemble de la zone de départ prédéfinie d’une piste en service, y compris lorsqu’une cible entre dans la zone protégée en arrière ou en avant d’un aéronef au départ (figure 7). Il y a 1 exception à cette règle générale : l’alerte ne sera pas générée s’il est établi que la cible principale est un aéronef au départ dont la vitesse dépasse une limite prédéfinie^{Note de bas de page 27}. L’alerte de niveau 1 restera en vigueur tant que toutes les cibles en conflit, sauf une, n’auront pas quitté la zone de départ et que la situation de conflit n’aura pas disparu^{Note de bas de page 28}.

Une alerte de niveau 2 – départ est générée lorsque des cibles se trouvent devant un aéronef détecté comme étant en accélération pour le décollage à l’intérieur d’une partie de la zone de départ active. L’alerte est déclenchée lorsque le sous-système détecte un aéronef qui accélère sur la piste à une vitesse supérieure à une valeur prédéfinie^{Note de bas de page 29} et qu’une cible se trouve dans la zone de recherche devant l’aéronef qui accélère. Ensuite, à chaque CWP, le mot « ALERT » clignotera au-dessus de l’étiquette de toute cible trouvée dans la zone de recherche (figure 8). Toutefois,

[traduction] la recherche ne s’appliquera pas s’il est établi que l’autre cible est un aéronef en partance et qu’elle s’éloigne de l’aéronef (la valeur calculée du TCPA [temps au point d’approche le plus près]^{Note de bas de page 30} est négative) [caractères gras ajoutés]. Dans des conditions de faible visibilité, cette vérification supplémentaire selon le TCPA est omise^{Note de bas de page 31}.

L’alerte de niveau 2 restera active

[traduction] jusqu’à ce que la cible en conflit ait quitté la zone de recherche ou si la vitesse signalée de l’aéronef en partance descend en dessous de la limite de vitesse prédéfinie et que la situation de conflit n’existe plus^{Note de bas de page 32}.

1.10.3.3 Alertes générées au cours de l’événement à l’étude

Dans l’événement à l’étude, 2 valeurs configurables pertinentes sont importantes. La première est la valeur « Stage 1 Speed Limit » (limite de vitesse de niveau 1). S’il est établi que la cible principale (ou le premier aéronef) est un aéronef en partance dépassant cette vitesse (dans le cas présent, 50 nœuds), l’alerte ne sera pas générée. La deuxième est la valeur « Stage 1/2 Speed Sel ». Le sous-système recherche les cibles dont la vitesse est supérieure à cette valeur (dans le cas présent, 20 nœuds) et dont la valeur TCPA (temps au point d’approche le plus près) est positive pour générer une alerte (figure 9).

À 9 h 49 min 2 s, alors que le Boeing 777 accélérait à une vitesse sol de 20 nœuds, le RIMCAS a commencé à rechercher des conflits de départ de niveau 2 sur la piste avec des cibles montrant un TCPA positif. À ce moment-là, l’Embraer 190 interrompait son décollage et se déplaçait à une vitesse sol de 100 nœuds en décélération; cependant, il était toujours considéré comme un aéronef en partance, et il avait un TCPA négatif étant donné qu’il se déplaçait toujours plus vite que le Boeing 777.

À 9 h 49 min 12 s, le Boeing 777 avait accéléré jusqu’à une vitesse sol de 81 nœuds, et l’Embraer 190 avait décéléré jusqu’à une vitesse sol de 64 nœuds. À ce moment-là, le TCPA est devenu positif, car le Boeing 777 se déplaçait désormais plus vite que l’Embraer 190. Cela aurait dû déclencher une alerte de niveau 2 – départ, qui serait apparue sur l’écran du CWP du contrôleur. Cependant, une alerte de niveau 2 n’a pas été déclenchée parce que le MST avait déterminé que l’Embraer 190 était en vol et qu’il ne s’agissait donc pas d’une cible en conflit. Par conséquent, le RIMCAS n’a pas détecté le conflit au départ et n’a pas généré d’alerte. L’espacement entre les appareils en conflit à ce moment-là était de 6500 pieds.

À 9 h 49 min 18 s, alors que le Boeing 777 se déplaçait à 100 nœuds en accélération, son GBS indiquait un état en vol. L’Embraer 190 était également considéré à tort par le MST comme étant en vol, car sa vitesse indiquée était supérieure à 50 nœuds. Étant donné que le Boeing 777 et l’Embraer 190 étaient tous deux considérés comme étant en vol, le sous-système n’a pas généré d’alerte.

À 9 h 49 min 20 s, alors que l’Embraer 190 se déplaçait à 50 nœuds en décélération, son GBS est passé de l’état en vol à l’état au sol. Cependant, le MST a retardé de 6 secondes supplémentaires le passage de l’état en vol à l’état au sol de l’aéronef.

À 9 h 49 min 31 s, alors que le Boeing 777 se déplaçait à 100 nœuds en décélération, son GBS est passé de l’état en vol à l’état au sol. Toutefois, dans ce cas, le MST a retardé de 11 secondes supplémentaires le passage de l’état en vol à l’état au sol de l’aéronef.

Ces 2 retards du MST étaient dus au fait que le paramètre de vitesse sol était réglé à une vitesse inférieure de 10 nœuds à la vitesse de décollage configurée, c’est-à-dire 10 nœuds en dessous de la valeur « Minimum speed for takeoff when GBS is OK » de 50 nœuds.

À 9 h 49 min 39 s, une alerte de niveau 1 – départ a été générée, pour le de Havilland DHC-8 (lorsqu’il a roulé sur la piste) et l’Embraer 190 (qui décélérait à l’autre extrémité de la piste). Ces 2 aéronefs étaient espacés d’environ 9300 pieds.

À 9 h 49 min 43 s, alors que l’alerte de niveau 1 était toujours en vigueur, le RIMCAS a généré une alerte de niveau 2 – départ. Alors que l’Embraer 190 s’approchait de l’extrémité de la piste et que le Boeing 777 décélérait, le MST a déterminé que les deux aéronefs étaient au sol (figure 10). Ils étaient maintenant espacés d’environ 3950 pieds. L’alerte de niveau 2 – départ a été visible pendant 2 secondes, puis s’est estompée lorsque l’alerte suivante a été générée.

Enfin, à 9 h 49 min 45 s, une alerte de niveau 1 – départ a été générée entre le de Havilland DHC-8 et le Boeing 777. Les deux aéronefs étaient arrêtés sur la piste et espacés d’environ 5400 pieds.

1.11 Enregistreurs de bord

Les aéronefs étaient tous deux munis d’un enregistreur de données de vol. Les données des deux aéronefs ont été téléchargées avec succès.

Les deux aéronefs étaient également munis d’un enregistreur de conversations de poste de pilotage. Les données de chaque aéronef ont été téléchargées avec succès et contenaient un son de bonne qualité pour l’événement.

1.12 Renseignements sur l’épave et sur l’impact

Sans objet.

1.13 Renseignements médicaux et pathologiques

Rien n’indique que les performances du contrôleur ou des équipages de conduite aient été dégradées par la fatigue ou tout autre facteur physiologique.

1.14 Incendie

Sans objet.

1.15 Questions relatives à la survie des occupants

Sans objet.

1.16 Essais et recherche

1.16.1 Rapports de laboratoire du BST

Le BST a produit le rapport de laboratoire suivant dans le cadre de la présente enquête :

• LP069/2020 – FDR analysis [Analyse de l’enregistreur des données de vol (FDR)]

1.17 Renseignements sur les organismes et sur la gestion

1.17.1 Manuel des services de la circulation aérienne de NAV CANADA

Le chapitre 9 du MATS de NAV CANADA fournit des directives fondamentales aux contrôleurs afin qu’ils puissent contrôler et appliquer l’espacement entre les aéronefs de façon sécuritaire, ordonnée et rapide. Le MATS définit 3 principes de base pour l’espacement :

• Planification : déterminez l’espacement minimum approprié requis
• Exécution : mettez en application l’espacement choisi
• Suivi : assurez-vous que l’espacement planifié et exécuté est maintenu ^{Note de bas de page 33}

Le manuel définit une perte d’espacement comme étant « [u]ne situation au cours de laquelle l’espacement a été inférieur au minimum d’espacement autorisé ou n’a pas été assuré ^{Note de bas de page 34} ».

Le manuel fournit les instructions suivantes aux contrôleurs : « Afin d’assurer le débit rapide de la circulation aérienne, appliquez un espacement aussi près des minimums prescrits que les circonstances le permettent ^{Note de bas de page 35} ».

Pour assurer l’espacement sur la piste, le manuel indique,

[d]ans le cas de départs successifs à partir d’une même piste, vous pouvez autoriser le décollage du deuxième aéronef, pourvu que l’une des conditions suivantes s’applique avant que le deuxième aéronef ne commence sa course au décollage [caractères gras ajoutés] :

• Le premier aéronef a décollé et a effectué un virage pour dégager la trajectoire de départ [...]
• Le premier aéronef a décollé et a atteint un point de la trajectoire de départ où il n’entrera pas en conflit avec le deuxième aéronef [...] ^{Note de bas de page 36}

Même si la norme du MATS stipule les conditions qui doivent être respectées avant que le 2^e aéronef n’amorce sa course au décollage, NAV CANADA a indiqué que l’intention était que ces conditions soient respectées avant que l’autorisation de décollage — dans son entièreté — soit délivrée.

Pour assurer l’espacement de turbulence de sillage, dans les situations où de gros aéronefs arrivent ou partent devant des aéronefs plus petits, le manuel prévoit des normes précises de temps et de distance. Selon la taille des aéronefs nécessitant un espacement, les contrôleurs doivent respecter ces normes de temps et de distance pour assurer un espacement sûr.

Pour assurer l’espacement initial selon les règles de vol aux instruments (IFR) entre des aéronefs en vol IFR, les contrôleurs peuvent utiliser de l’équipement de surveillance ou, lorsque les conditions météorologiques et la visibilité le permettent, des procédures d’espacement visuel IFR ou d’espacement visuel au départ.

Dans le cadre des procédures d’espacement visuel au départ, 2 types d’espacement sont possibles : l’espacement appliqué par le contrôleur et l’espacement appliqué par le pilote. L’espacement appliqué par un pilote peut être inférieur à celui qui serait appliqué par un contrôleur. Toutefois, dans le cadre de ces procédures et à l’exception des situations où les normes d’espacement de turbulence de sillage devraient être prises en compte, le MATS ne propose aucune norme de temps ou de distance que les contrôleurs ou les pilotes devraient suivre pour assurer un espacement sûr entre les aéronefs. Lorsque la procédure d’espacement visuel au départ appliqué par le pilote est utilisée, il revient à l’équipage de conduite du 2^e aéronef de maintenir l’espacement visuel. Au moment de l’événement, le contrôleur avait prévu de coordonner le départ du Boeing 777 en utilisant des procédures d’espacement visuel au départ appliqué par le pilote afin d’accélérer les départs.

1.17.2 Environnement et contexte de travail des contrôleurs de la circulation aérienne

1.17.2.1 Réduction de l’espacement et optimisation des débits

Les contrôleurs de la circulation aérienne travaillent dans un environnement dynamique et rapide. Ils comprennent que les exploitants commerciaux exercent des pressions opérationnelles et financières. Avec des coûts d’exploitation mesurés à l’heure ou à la minute ^{Note de bas de page 37}, les exploitants cherchent à mener des opérations efficaces et s’efforcent de réduire les temps d’attente pendant les opérations au sol. La mise en séquence des aéronefs à l’arrivée et au départ nécessite un chronométrage précis et une compréhension des performances des aéronefs de la part du contrôleur. Pour réduire l’espacement et optimiser les débits, des procédures telles que les procédures d’espacement visuel au départ indiquées dans le MATS sont mises en œuvre.

Comme cela a été expliqué précédemment, selon les procédures d’espacement au départ, le 1^er aéronef doit être en vol avant que l’autorisation de décollage — dans son entièreté — soit délivrée au 2^e aéronef. En pratique cependant, des techniques existent pour essayer de réduire l’espacement au minimum et d’optimiser les débits. Une de ces techniques, qui ne sont pas forcément consignées ou incluses dans le MATS, consiste à ce que les contrôleurs ajustent leur rythme ou cadence lorsqu’ils délivrent des autorisations de décollage ou d’atterrissage, lorsqu’ils demandent aux aéronefs de circuler au sol ou de s’aligner sur la piste, ou lorsqu’ils transfèrent des aéronefs au contrôleur suivant.

Les contrôleurs apprennent par expérience à ajuster leur cadence selon les différents exploitants et types d’aéronefs. Au fur et à mesure qu’ils acquièrent cette expérience, ils apprennent à anticiper la course au décollage d’un aéronef, le point de cabrage probable, et le moment où le train avant quittera le sol, c’est-à-dire le moment où l’aéronef est considéré comme étant engagé à voler. Ce faisant, les contrôleurs apprennent également à estimer le temps nécessaire pour délivrer une autorisation, entendre la relecture de l’autorisation et permettre à l’aéronef suivant de commencer sa course au décollage. Ils peuvent ainsi raccourcir ou rallonger le temps nécessaire entre les événements et vérifier que les conditions sont respectées. Cela dit, les contrôleurs s’attendent à ce que les pilotes ne commencent pas leur course au décollage tant que l’autorisation de décollage — dans son entièreté — n’a pas été délivrée.

1.17.2.2 Attentes en cas de décollage interrompu et d’incursion sur piste

Les contrôleurs comprennent qu’il existe plusieurs raisons pour lesquelles un pilote peut amorcer un décollage interrompu. Ils comprennent également les conséquences si ces décollages interrompus ne sont pas exécutés avec succès. Par exemple, les contrôleurs savent qu’un pilote ne devrait pas amorcer un décollage interrompu après que l’aéronef a dépassé sa vitesse V₁ ou commencé son cabrage pour le décollage. Les conséquences d’une telle action pourraient conduire à une situation dangereuse, telle qu’une sortie en bout de piste. Les contrôleurs savent aussi qu’une fois que le train avant d’un aéronef a quitté le sol, la probabilité d’un décollage interrompu est très faible.

Enfin, les contrôleurs connaissent les moyens de défense mis en place pour prévenir les incursions sur piste, tels que les appels radio et les alertes RIMCAS (qui fournissent des signaux visuels et sonores). Ces défenses donnent l’alerte si un conflit se développe ou est détecté. Les contrôleurs s’attendent à ce que ces défenses fonctionnent et les aident dans l’exécution de leurs tâches.

1.18 Renseignements supplémentaires

1.18.1 Statistiques sur les impacts d’oiseaux

Les impacts d’oiseaux sont un danger bien connu dans l’aviation. Le document de TC intitulé Impacts faunique [sic] dans les aéroports canadiens – Rapport annuel de 2019 indique qu’en 2019, 2536 événements liés à la faune, dont 2043 impacts d’oiseaux et 176 quasi-impacts d’oiseaux, ont été signalés à TC. Sur les 1339 impacts d’oiseaux pour lesquels la phase de vol a été signalée, la majorité s’est produite soit au décollage (39 %), soit à l’atterrissage (38 %). Sur les 324 événements pour lesquels l’altitude à laquelle l’impact d’oiseau s’est produit a été signalée, 34 % se sont produits au sol. CYYZ était en 2^e position sur la liste des 20 aéroports les plus touchés, avec 224 impacts fauniques^{Note de bas de page 38},^{Note de bas de page 39}.

Selon le rapport annuel de 2020, 1339 événements fauniques ont été signalés à TC pour cette année, dont 1093 étaient des impacts d’oiseaux et 84, des quasi-impacts d’oiseaux^{Note de bas de page 40}. La majorité des 598 impacts d’oiseaux signalés dont la phase de vol était précisée se sont produits soit au décollage soit à l’atterrissage (37 % et 38 % respectivement). Avec 39 impacts fauniques signalés en 2020, CYYZ arrive en 4^e position des 20 aéroports les plus touchés^{Note de bas de page 41}.

1.18.2 Modèles mentaux et prise de décisions

La tâche consistant à contrôler les aéronefs au décollage et à l’atterrissage est complexe et difficile et se déroule dans un environnement opérationnel dynamique. Les modèles mentaux et la prise de décisions sont des aspects clés de la performance humaine dans le contrôle de la circulation aérienne.

1.18.2.1 Modèles mentaux

Les modèles mentaux sont des structures cognitives qui représentent des renseignements sur un système. Ils contiennent généralement des renseignements sur les composants d’un système et sur la manière dont ces systèmes interagissent pour produire divers états et événements du système. Les modèles mentaux peuvent faciliter l’évaluation d’une situation, car les personnes reconnaissent les caractéristiques clés de l’environnement qui correspondent aux caractéristiques clés du modèle mental. Cela accélère les performances et réduit la charge de la mémoire de travail, permettant ainsi l’exécution de tâches complexes. Les modèles mentaux permettent de contourner les limites de la mémoire de travail et de diriger l’attention plus efficacement^{Note de bas de page 42}.

Un modèle mental exact d’une situation est facilité par l’expertise (connaissances, compétences, expérience et capacité)^{Note de bas de page 43}. L’expertise facilite la perception rapide et exacte des renseignements et des indices dans des conditions normales, ainsi que dans les cas où ces renseignements ou indices pourraient signaler un problème. L’expertise permet également d’établir plus rapidement une correspondance entre les données perçues dans l’environnement et les modèles mentaux existants. Cela augmente la capacité à comprendre une situation et la probabilité de ses diverses conséquences et à projeter des résultats futurs. Par conséquent, la compréhension et les projections peuvent être développées avec moins d’efforts et à l’intérieur des limites de la mémoire de travail lorsque des modèles mentaux exacts ont été élaborés. Cela simplifie le processus décisionnel^{Note de bas de page 44}.

Les objectifs sont essentiels à la performance et peuvent être considérés comme des états idéaux qu’un exploitant souhaite atteindre. Les objectifs sont créés par les directives et les procédures (p. ex. les procédures de départ du MATS), par la rétroaction des surveillants (p. ex. les évaluations du rendement et les statistiques des unités), par la rétroaction du système (p. ex. le débit rapide et sûr des mouvements d’aéronefs et la satisfaction des clients), et par les propres objectifs de performance de l’exploitant (p. ex. l’exécution des tâches de manière sûre, ordonnée et rapide). De même, l’exploitant peut reconnaître des données perçues dans son environnement qui indiqueront la nécessité d’adopter des plans différents pour atteindre les objectifs ou la nécessité de modifier les objectifs eux-mêmes^{Note de bas de page 45}.

1.18.2.2 Prise de décisions

Le traitement des renseignements fait partie intégrante de la prise de décisions à mesure que les décisions deviennent plus complexes. Les modèles décisionnels classiques ou normatifs sont axés sur la prise de décisions rationnelles et optimales, comme l’achat d’une maison, et sont souvent caractérisés par une évaluation lente et analytique des options et la sélection du choix optimal. En comparaison, les modèles décisionnels comportementaux et naturalistes sont axés sur la manière dont les décisions sont prises dans des contextes réels, dynamiques et sensibles au temps. Ces modèles tiennent compte des limites cognitives humaines et se caractérisent par la prise de décisions de manière routinière et non analytique, en comparant les actions en matière de valeur ou d’utilité attendue. La recherche montre que les professionnels dans le monde réel utilisent la prise de décisions naturaliste en fonction de leur expérience, de la tâche et du contexte opérationnel^{Note de bas de page 46}.

La prise de décisions, de cette façon, [traduction] « fusionne deux processus : la façon dont les décideurs évaluent la situation pour reconnaître la ligne d’action qui est sensée, et la façon dont ils évaluent cette ligne d’action en l’imaginant^{Note de bas de page 47} ». Dans ces types de situations, les décideurs reconnaissent des situations comme étant typiques et familières, et ils passent à l’action. Ils comprennent quels types d’objectifs sont sensés, quelles priorités il faut établir, quels indices sont importants et ce à quoi il faut s’attendre ensuite, ainsi que les façons types de réagir dans des situations données. En reconnaissant une situation comme étant typique, ils reconnaissent également un plan d’action susceptible de réussir. Cette stratégie de prise de décisions est extrêmement efficace et s’exécute très rapidement. Une bonne évaluation de la situation est essentielle pour prendre une bonne décision^{Note de bas de page 48}.

1.18.3 Aspects de la détection d’un décollage interrompu à grande vitesse

Des situations d’urgence ou des conditions anormales inattendues peuvent surprendre les exploitants, comme les contrôleurs ou les pilotes, en particulier lors de l’exécution de tâches mentales exigeantes^{Note de bas de page 49}. Lors d’événements inattendus, les exploitants peuvent être surpris parce que ce qui se passe dans l’environnement ne correspond ni à leur propre modèle mental de la situation ni à ce qui est censé se produire^{Note de bas de page 50}. En outre, étant donné que l’attention des contrôleurs de la circulation aérienne et des pilotes est très concentrée lorsqu’ils exercent leurs fonctions, les indices doivent être suffisamment saillants pour capter leur attention.

Des indices sonores et visuels aident à alerter les contrôleurs des décollages interrompus à grande vitesse : les contrôleurs peuvent entendre un appel radio de l’équipage, ou ils peuvent voir un aéronef décélérer ou s’arrêter sur la piste. Les systèmes automatisés (tels que le RIMCAS) peuvent également fournir de tels indices. Il peut s’agir de changements de couleur des étiquettes de suivi ou de changements numériques de la vitesse et de l’altitude lorsque l’aéronef accélère et monte. Dans l’événement à l’étude, par exemple, l’ajout d’un « A » et de la valeur d’altitude à l’étiquette de suivi de l’Embraer 190 dans l’A-SMGCS indiquait qu’il était en vol à 50 nœuds; cependant, cette indication était inexacte et pouvait induire en erreur les contrôleurs, car ils savent qu’un aéronef est rarement en vol à cette vitesse.

Au moment du décollage interrompu de l’Embraer 190, le contrôleur écoutait la fréquence appropriée pour recevoir des indices sonores et balayait visuellement 4 endroits précis pour percevoir des indices visuels :

• le seuil de la piste 05 pour les aéronefs à l’atterrissage;
• le seuil de la piste 06L pour les aéronefs en position d’attente de départ;
• l’extrémité départ de la piste 06L pour les aéronefs au départ;
• son CWP.

Au moment de l’événement, le contrôleur n’était pas conscient de l’impact d’oiseau ni du décollage interrompu. Selon son modèle mental de l’environnement opérationnel et ce qu’il voyait sur la piste, le contrôleur s’attendait à ce que l’Embraer 190 décolle normalement. Il a alors donné l’autorisation de décollage au Boeing 777 pour accélérer les départs.

1.18.4 Fonctionnement des transpondeurs

1.18.4.1 Normes de performances opérationnelles minimales des transpondeurs

Les normes de performances opérationnelles minimales (minimum operational performance standards, MOPS) des transpondeurs sont indiquées dans le document DO-181 de la Radio Technical Commission for Aeronautics ^{Note de bas de page 51} intitulé Minimum Operational Performance Standards for Air Traffic Control Radar Beacon System/Mode Select (ATCRBS/Mode S) Airborne Equipment(MOPS DO-181) ^{Note de bas de page 52}, ^{Note de bas de page 53}. Dans les MOPS DO-181, l’état en vol et au sol est indiqué dans les champs « Flight Status » (état de vol), « Vertical Status » (état vertical) et « Capability » (capacité) du transpondeur mode S. Les MOPS DO-181 exigent que les aéronefs disposant de la capacité d’établir automatiquement leur état en vol ou au sol (au moyen de capteurs de référence air-sol, par exemple) utilisent cette capacité pour déterminer et transmettre l’état.

Les MOPS DO-181 comprennent également une norme pour la validation d’un état en vol ou au sol déterminé automatiquement afin de vérifier qu’un aéronef ne transmet pas continuellement un état au sol erroné. Selon les MOPS DO-181, l’une ou l’autre des conditions suivantes écrasera la valeur des champs « Flight Status » (état de vol) ou « Vertical Status » (état vertical) et la réglera à « in air » (en vol) :

• vitesse sol supérieure à 100 nœuds;
• vitesse indiquée supérieure à 100 nœuds;
• hauteur radioaltimétrique supérieure à 50 pieds.

En l’absence de méthode automatique de sélection ou d’identification de l’état en vol ou au sol, ou si l’indication est jugée invalide par un mécanisme quelconque, le transpondeur doit s’assurer que l’état est réglé à « en vol ». En d’autres termes, le transpondeur considérera que l’aéronef est en vol et diffusera des données en conséquence.

Il est indiqué, dans les MOPS DO-181, que l’état au sol sert à réduire les interrogations inutiles des systèmes anticollision embarqués (ACAS) entre les aéronefs se trouvant dans les alentours. Les exigences selon lesquelles la fonction de l’état au sol indique un état en vol sont volontairement prudentes pour que les aéronefs soient détectés par l’ACAS à bord des autres aéronefs tout en évitant des interrogations inutiles pendant les opérations avant le décollage et après l’atterrissage (p. ex. démarrage, circulation au sol). Les exigences ne visent pas à faire de cette fonction un moyen fiable grâce auquel les systèmes ATS ou de surveillance au sol peuvent déterminer la position physique ou l’état d’un aéronef.

Selon les MOPS DO-181, l’état au sol doit être remplacé automatiquement par l’état en vol quand la vitesse indiquée ou la vitesse sol est supérieure à 100 nœuds, valeur prudente bien inférieure à la vitesse à laquelle la plupart des gros aéronefs de la catégorie transport peuvent prendre leur envol. Cette norme fait en sorte que les aéronefs au décollage soient détectés par l’ACAS à bord des aéronefs se trouvant dans les alentours même si d’autres moyens de détection de l’état en vol, comme les capteurs de référence air-sol, ne fonctionnent pas correctement.

Étant donné que les MOPS DO-181 datent d’avant l’avènement de systèmes comme l’A-SMGCS et le RIMCAS, il n’était pas prévu de devoir fournir des données sur la transition air-sol ayant la précision nécessaire pour ces systèmes lorsqu’un aéronef est au sol.

1.18.4.2 Spécifications techniques canadiennes

Au Canada, les normes qui s’appliquent aux transpondeurs des aéronefs de la catégorie transport sont les Spécifications techniques canadiennes (CAN-TSO) C112e, Air Traffic Control Radar Beacon System/Mode Select Airborne Equipment. Les CAN-TSO C112e découlent des spécifications techniques (TSO) C112e de la Federal Aviation Administration des États-Unis. Les TSO invoquent les MOPS DO-181, qui comprennent l’exigence selon laquelle les aéronefs doivent déterminer leur état au sol s’ils peuvent le faire automatiquement.

Tel qu’il est expliqué ci-dessus, les spécifications exigent également que l’état déterminé soit « en vol » à des vitesses indiquées supérieures ou égales à 100 nœuds à titre de précaution et soit changé automatiquement en cas de mauvais fonctionnement d’autres systèmes. Des vitesses inférieures à 100 nœuds sont également autorisées comme seuil de dépassement; par conséquent, un seuil de 50 nœuds est conforme à ces spécifications.

TC a confirmé que l’utilisation de la fonction de l’état en vol par les systèmes ATS ou de surveillance au sol n’avait pas été envisagée par les TSO.

1.18.4.3 Détermination de l’état en vol ou au sol d’un aéronef

La suite avionique Primus Epic de Honeywell et la configuration du transpondeur mode S modèle XS-857A de Honeywell se trouvent à bord de tous les aéronefs E-Jet d’Embraer, dont plus de 1500 ont été produits. Des configurations similaires se trouvent également à bord d’autres types d’aéronefs, comme des aéronefs de Dassault et Gulfstream, bien que leur logique soit différente pour l’état automatisé en vol et au sol.

En tant que dispositif indépendant, le transpondeur XS-857A est entièrement conforme aux MOPS DO-181. Il utilise un seuil de vitesse indiquée de 100 nœuds comme vérification de validation pour faire passer l’état de l’aéronef à l’état en vol. Cette vérification de validation garantit que l’aéronef sera suivi par les ATS et l’ACAS même si les moyens automatiques pour déterminer les paramètres « Flight Status » (état de vol) ou « Vertical Status » (état vertical) ne fonctionnent pas.

Pour déterminer l’état en vol ou au sol d’un aéronef, le calculateur de la suite avionique fonctionne avec le transpondeur en utilisant :

• 3 calculateurs de données aérodynamiques;
• 2 calculateurs utilitaires (pour les capteurs de référence air-sol);
• la fonction d’avertissement de suivi (MWF) du calculateur Primus Epic.

Pour les décollages, le signal MWF automatisé passera de l’état au sol à l’état en vol si :

• les 3 calculateurs de données aérodynamiques indiquent que la vitesse corrigée est supérieure à 50 nœuds; ou
• les 2 capteurs de référence air-sol indiquent que l’aéronef est en vol.

La MWF envoie le signal automatisé d’état en vol ou au sol au transpondeur, qui à son tour est utilisé comme valeur GBS pour le RIMCAS. La MWF ne fait pas que relayer les signaux des capteurs de référence air-sol; il effectue sa propre vérification de validation en utilisant un seuil de vitesse sol de 50 nœuds. Cette vérification de validation a lieu avant que les données soient envoyées au transpondeur XS-857A de sorte que le seuil de 50 nœuds de la MWF soit une condition préalable pour que le transpondeur XS-857A transmette toujours un état en vol lorsque la vitesse sol de l’aéronef est supérieure à 50 nœuds.

TC a confirmé que le choix du seuil de dépassement de 50 nœuds pour l’Embraer 190 était peut-être inhabituellement bas pour un gros aéronef de la catégorie transport, mais que d’autres aéronefs pouvaient également avoir des seuils de dépassement différents inférieurs à 100 nœuds.

1.18.5 Scénarios simulés

1.18.5.1 Modification du paramètre « Minimum speed for takeoff when GBS is OK » dans le sous-système de surveillance des incursions sur piste et d’alerte de conflit

Des simulations ont été effectuées pour déterminer si le RIMCAS aurait pu générer une alerte plus tôt dans la séquence des événements et pour explorer ce qui se serait passé si toutes les cibles de départ avaient été identifiées correctement comme étant au sol pendant toute la durée de l’événement. Pour ces scénarios simulés, la valeur du paramètre « Minimum speed for takeoff when GBS is OK », qui peut être configuré à une valeur autre que 50 nœuds, a été fixée à 160 nœuds dans le RIMCAS. Au cours de la simulation, le RIMCAS a émis une alerte de niveau 2 – départ à 9 h 49 min 12 s, dès que le TCPA est devenu positif. Cette alerte hypothétique de niveau 2 – départ a été en vigueur environ 13 secondes avant que le Boeing 777 n’amorce son décollage interrompu (annexe A). C’était 27 secondes avant que le RIMCAS ne génère l’alerte de niveau 1, et 31 secondes avant qu’il ne génère l’alerte de niveau 2.

Il est important de noter que, même si la modification du paramètre « Minimum speed for takeoff when GBS is OK » peut déclencher une alerte RIMCAS opportune, elle peut aussi provoquer par inadvertance de fausses alarmes dans d’autres situations. Cela pourrait avoir pour effet de réduire la confiance des contrôleurs dans le sous-système. Par conséquent, la configuration de paramètres précis reste tributaire des processus locaux de réglage et d’optimisation sur place, qui comprennent des épreuves et des essais d’acceptation de configuration sur place.

1.18.5.2 Modification de la vitesse de vérification de validation de 50 nœuds de l’Embraer 190

Le centre d’enquête et de prévention des accidents aéronautiques du Brésil a procédé à un examen de l’état en vol et au sol de l’Embraer 190 de l’événement (annexe B) et a constaté qu’il aurait émis un état en vol pendant environ 50 secondes au cours de l’événement. L’analyse a montré que, même si la valeur avait été portée à 100 nœuds, l’aéronef aurait quand même été représenté de manière inexacte comme étant en vol pendant environ 19 secondes.

Au cours de cet événement, l’Embraer 190 a émis un état en vol pendant environ 52 secondes ^{Note de bas de page 54}. Au même moment, les registres du sous-système d’enregistrement et de lecture de l’événement représentaient le Boeing 777 comme étant en vol à 100 nœuds pendant environ 23 secondes.

1.18.6 Interactions de systèmes complexes

Un système peut être décrit par les composants interconnectés qui le constituent et par leur fonctionnement et leur interaction ensemble pour atteindre un objectif. Un système complexe est intrinsèquement diversifié, interconnecté et interactif de par sa conception ^{Note de bas de page 55},^{Note de bas de page 56},^{Note de bas de page 57}. Les systèmes complexes, y compris dans les transports, la médecine et la production d’énergie, sont différents des autres systèmes en ce sens qu’ils s’adaptent pour tenir compte de la complexité et de l’incertitude de l’environnement de travail et de ses opérations connexes ^{Note de bas de page 58}. Les systèmes complexes bénéficient de processus, de procédures et de plans de contingence qui sont flexibles et appliqués par des exploitants ayant des connaissances et de l’expérience. Plus un système est complexe, plus il devient difficile pour une personne de savoir si elle a encore un contrôle adéquat ou non, car il survient des interactions et des interconnexions inattendues; cela a des conséquences pour la sécurité ^{Note de bas de page 59}. Les systèmes complexes peuvent être difficiles à contrôler parce qu’ils s’adaptent constamment pour composer avec des objectifs nombreux et contradictoires ^{Note de bas de page 60}.

Les systèmes de gestion et les systèmes techniques recherchent continuellement des optimisations qui réduisent les coûts, améliorent l’efficacité et maximisent ou minimisent des valeurs clés telles que les limites minimales ou la production maximale ^{Note de bas de page 61}. L’optimisation excessive d’un système complexe, par exemple des processus trop rapprochés dans le temps ou des effectifs trop réduits, augmente le risque que de petites perturbations ou pannes se transforment en urgences importantes. Une marge de manœuvre ou une flexibilité suffisante est nécessaire dans les systèmes complexes pour avoir le temps et les ressources nécessaires pour détecter toutes variations mineures dans l’environnement de travail ou les opérations et y réagir ^{Note de bas de page 62}.

Les systèmes existent pour fournir un service ou un produit, pour réaliser un gain économique ou pour maximiser l’utilisation des capacités, et ils doivent le faire en toute sécurité ^{Note de bas de page 63}. Les conflits d’objectifs sont inhérents aux systèmes opérationnels et sont souvent perçus en termes de pressions de production et de pressions de sécurité. Cependant,

[traduction] les conflits d’objectifs les plus importants ne sont jamais aussi explicites, mais résultent plutôt de plusieurs directives incompatibles (p. ex. les politiques et les procédures) provenant de différents niveaux et sources, de pressions subtiles et tacites (p. ex. les coûts connus des retards qui créent une pression tacite pour accélérer), des réactions de la direction ou des clients à des compromis particuliers ^{Note de bas de page 64}.

Bien que la sécurité (protection) soit une priorité (déclarée), ces systèmes n’existent pas pour être sûrs. Les protections de sécurité créent une marge de sécurité, un espace de fonctionnement qui permet d’atténuer les risques sans toutefois provoquer d’accident. En s’adaptant pour mieux produire, ces systèmes peuvent éroder la marge de sécurité. Lorsqu’une quasi-collision se produit, il fait reculer la pression de production, mais pas jusqu’au point de consigne initial. Avec le temps et les objectifs de production maintenus, l’espace de sécurité peut s’éroder ^{Note de bas de page 65}.

Le compromis capacité-sécurité dans un système complexe, tel qu’un réseau de transport aérien, a été examiné dans une étude portant sur l’augmentation de la capacité et le renforcement de la sécurité ^{Note de bas de page 66}. L’étude a révélé qu’à mesure que le débit horaire des mouvements d’aéronefs dans le réseau augmentait, au-delà d’un certain niveau, le risque de collisions augmentait lorsque le nombre de mouvements franchissait un niveau cible de sécurité désigné. L’étude a conclu que l’estimation de la capacité réelle d’un système de réseau de transport aérien sans tenir compte de la sécurité est très peu réaliste, car sa capacité maximale dépend des interactions de ses réseaux sous-jacents d’aéroport et d’espace aérien ^{Note de bas de page 67}.

L’un des scénarios dans lesquels des accidents peuvent se produire dans des systèmes complexes est la dérive vers la défaillance : les éléments de ces systèmes interagissent, évoluent et s’adaptent à de nouvelles situations d’une manière qui n’est pas toujours visible ou contrôlable, mais qui peut pousser les opérations à l’intérieur de la marge de sécurité, augmentant ainsi le niveau de risque. Les systèmes complexes fonctionnent de manière optimale à la « frontière du chaos », qui est

[traduction] ce que l’on appelle un état critique ou, dans une référence explicite à la thermodynamique, un état dissipatif. Lorsqu’il se trouve dans un état critique ou dissipatif, un système n’est pas en équilibre et peut être facilement perturbé. Dans cet état, les nombreux éléments qui composent le système complexe ne se mettent jamais tout à fait en place, mais ne se dissolvent presque jamais dans un chaos complet. […]

La dérive vers la défaillance, en ces termes, consiste à optimiser le système jusqu’à ce qu’il se retrouve à cette frontière du chaos. Là, dans cet état critique, des réponses démesurées et dévastatrices à de petites perturbations deviennent possibles. Les grands événements sont dans le domaine du possible. La dérive ne mène pas nécessairement à la défaillance. Du moins, pas avant qu’elle ne le fasse ^{Note de bas de page 68}.

La sécurité et le risque sont considérés comme des aspects dynamiques du système, nécessitant une adaptation et une gestion continues. Les accidents de système ne découlent pas de défaillances de composants, mais d’une érosion du contrôle des contraintes de sécurité du système. Un système complexe qui subit une dérive incontrôlée est généralement performant jusqu’à ce qu’une petite perturbation ou un incrément le pousse en dehors de la marge de sécurité.

1.18.7 Liste de surveillance du BST

La Liste de surveillance du BST énumère les principaux enjeux de sécurité qu’il faut s’employer à régler pour rendre le système de transport canadien encore plus sûr.

Le risque de collisions dues aux incursions sur piste figure sur la Liste de surveillance 2020. Comme l’événement à l’étude le démontre, des incursions sur piste continuent de se produire dans l’aviation commerciale canadienne, malgré un personnel hautement qualifié, des aéronefs modernes dotés de systèmes avioniques avancés et des aéroports équipés de systèmes automatisés sophistiqués de surveillance des incursions sur piste.

MESURES À PRENDRE Le risque de collisions dues aux incursions sur piste demeurera sur la Liste de surveillance du BST tant que l’on n’aura pas constaté une baisse soutenue de la fréquence des incursions sur piste, et plus particulièrement des incursions posant un risque élevé, ou jusqu’à ce que de nouvelles technologies soient mises en œuvre pour améliorer les mécanismes de défense. Il n’existe pas de solution unique pour réduire la fréquence des incursions sur piste partout au pays. Des solutions individuelles pour des dangers déjà cernés, jumelées à des progrès technologiques à grande portée (comme des aides à la conscience situationnelle dans le poste de pilotage et des feux d’état de la piste), seront probablement plus efficaces.

1.19 Techniques d’enquête utiles ou efficaces

Sans objet.

Dans le cadre de l’événement à l’étude, le contrôleur et l’équipage de conduite des deux aéronefs détenaient les licences et les qualifications appropriées à leurs postes respectifs. Les deux aéronefs étaient en bon état de service et les conditions météorologiques n’ont pas été un facteur.

Le présent événement est devenu une incursion sur piste, selon les critères pertinents, lorsque l’équipage de conduite du Boeing 777 s’est conformé à l’autorisation de décollage alors que l’Embraer 190 se trouvait toujours sur la piste. Il est important de noter que l’ensemble des événements se sont produits très rapidement : de l’impact d’oiseau jusqu’à ce que l’équipage de conduite du Boeing 777 n’amorce son décollage interrompu, 36 secondes se sont écoulées.

L’analyse examinera les interactions complexes dans les opérations de départ à vue, la décision de délivrer une autorisation de décollage alors qu’un autre aéronef se trouvait toujours sur la piste, et la façon dont un risque de collision est survenu. Ensuite, elle se penchera sur l’impact d’oiseau, les transmissions radio simultanées non détectées et la façon dont le décollage interrompu de l’Embraer 190 a été détecté, ainsi que l’état de vol des aéronefs et l’interaction entre la fonction d’avertissement de suivi (MWF) de la suite Primus Epic et le sous-système de surveillance des incursions sur piste et d’alerte de conflit (RIMCAS). Enfin, l’analyse examinera le décollage interrompu du Boeing 777.

2.1 Interactions complexes en jeu dans les opérations de départ à vue

Les services de la circulation aérienne (ATS), l’exploitation d’aéronefs et les opérations aéroportuaires peuvent être considérés comme des systèmes complexes essentiels à la sécurité. Ces systèmes doivent constamment maintenir un équilibre entre les objectifs de production et de protection, et le compromis capacité-sécurité en est un élément essentiel. Bien qu’un grand nombre de moyens de protection et de défense soient mis en place pour assurer la sécurité dans les ATS et les opérations aéroportuaires, les exigences opérationnelles constantes et les pressions financières importantes associées à ce système l’ont amené à être hautement optimisé.

La mise en place de procédures d’espacement réduit par NAV CANADA constitue un exemple d’optimisation. Afin d’optimiser les séquences de décollages et d’augmenter le débit d’aéronefs, NAV CANADA et ses contrôleurs peuvent effectivement retrancher plusieurs secondes entre les décollages. Gagner quelques secondes par décollage peut sembler anodin; cependant, le temps, la consommation de carburant et la réduction des temps d’attente sont des facteurs déterminants pour les coûts d’exploitation des compagnies aériennes.

Par exemple, si le débit d’un aéroport est de 30 décollages à l’heure (soit 1 décollage toutes les 2 minutes), et que le temps d’espacement entre les décollages est réduit de 30 secondes, cela permettrait de gagner jusqu’à 15 minutes et d’autoriser jusqu’à 10 décollages de plus au cours de cette même heure. Ces décollages additionnels entraîneraient des économies importantes de temps et d’argent pour les compagnies aériennes et leurs passagers. Le fait de réussir à effectuer davantage de décollages au cours d’un même laps de temps pourrait augmenter la capacité du système (production). Cependant, lorsque des événements imprévus surviennent, cette augmentation peut réduire la sécurité (protection) et la marge de sécurité, ce qui accroît le risque d’incidents et d’accidents.

Le chapitre 9 du Manuel des services de la circulation aérienne (MATS) de NAV CANADA enjoint aux contrôleurs d’effectuer la planification, l’exécution et le suivi de l’espacement des aéronefs de façon sécuritaire, ordonnée et rapide. Le manuel demande aussi aux contrôleurs d’appliquer « un espacement aussi près des minimums prescrits que les circonstances le permettent ». Lorsque les aéronefs au départ sont alignés et que d’autres aéronefs arrivent et se succèdent rapidement, cela engendre une pression opérationnelle que les contrôleurs gèrent dans le cadre normal de leurs fonctions.

Comme cela a pu être observé dans l’événement à l’étude, l’utilisation des procédures d’espacement visuel au départ appliqué par le pilote qui sont décrites en détail dans le MATS permet aux contrôleurs de réduire l’espacement initial entre 2 aéronefs selon les règles de vol aux instruments (IFR) jusqu’à ce qu’il corresponde à l’espacement minimal prescrit dans les procédures d’espacement de piste. Cette réduction de l’espacement IFR initial se traduit par une pratique hautement optimisée, et le temps de réponse en cas de perturbations ou d’événements imprévus s’en trouve réduit.

Contrairement à d’autres formes d’espacement IFR ou d’espacement de turbulence de sillage, aucune norme de temps ou de distance ne s’impose pour l’espacement visuel au départ appliqué par le pilote.

Pour les décollages successifs à partir d’une même piste, le MATS indique que les contrôleurs peuvent autoriser le décollage d’un 2^e aéronef, pourvu que le 1^er aéronef ait décollé avant que le 2^e aéronef n’amorce sa course au décollage. NAV CANADA a précisé que l’intention de cette procédure était que l’autorisation de décollage ne devait pas être donnée au 2^e aéronef tant que le 1^er aéronef n’avait pas décollé. Cependant, pour optimiser le temps entre les 2 mouvements d’aéronefs, les contrôleurs peuvent commencer à délivrer l’autorisation de décollage au 2^e aéronef avant que le 1^er aéronef n’ait décollé. En effet, étant donné que l’autorisation prend quelques secondes pour être délivrée, on peut prévoir que la condition de décollage stipulée dans le MATS sera respectée avant que l’autorisation ne soit finalisée.

En plus du temps gagné grâce à cette anticipation, la pratique est souvent optimisée encore davantage : bien que les contrôleurs considèrent en règle générale qu’un aéronef a décollé une fois qu’il est en vol, certains contrôleurs considèrent que l’aéronef a décollé à partir du moment où il se cabre.

Dans l’événement à l’étude, tous les éléments du système ont interagi de manière complexe : les procédures, le personnel, l’environnement de travail, les aéronefs, la technologie et les pressions exercées.

Durant les opérations précédant l’événement, l’interaction de ces divers éléments a permis de générer des mouvements d’aéronefs hautement optimisés, y compris des séquences de départ chronométrées avec précision dans le but de réduire le nombre d’aéronefs en attente de décollage à l’aéroport international Lester B. Pearson de Toronto (CYYZ). Lorsque l’impact d’oiseau et les transmissions simultanées non détectées se sont produits, le système n’a pas été en mesure de les détecter et de réagir rapidement afin d’éviter une incursion sur piste ou de réduire le risque de collision, et l’espacement n’a pas été assuré. Lorsque des opérations complexes composées d’éléments hautement interactifs sont conduites de sorte qu’elles sont toutes étroitement liées, de petites perturbations ou des situations d’urgence peuvent entraîner des situations à risque élevé.

2.2 Décision de délivrer l’autorisation de décollage

Au moment de l’événement, le contrôleur avait planifié de coordonner le décollage du Boeing 777 en utilisant un espacement visuel au départ appliqué par le pilote derrière l’Embraer 190. Il utilisait un débit, ou cadence, rapide afin de faire aussi vite que possible, en respectant le MATS de NAV CANADA. Il avait beaucoup d’expérience, était à l’aise avec le volume de la circulation et gérait efficacement sa charge de travail. Le contrôleur a évalué très rapidement la situation (en quelques secondes seulement), ce qui est une pratique courante. Le contrôleur a évalué la situation d’après son expérience, ses connaissances et ses perceptions des performances de l’Embraer 190 et du Boeing 777, en tenant compte des éléments suivants :

• sa perception que l’Embraer 190 avait atteint sa vitesse de cabrage ou qu’il s’en approchait;
• sa perception que l’Embraer 190 avait atteint ou dépassé le point de cabrage typique;
• le moment où il a donné l’autorisation de décollage au Boeing 777;
• sa prévision que l’Embraer 190 serait en vol lorsque l’équipage de conduite du Boeing 777 aurait relu l’autorisation de décollage et commencerait sa course au décollage.

Le contrôleur s’attendait bien à ce que l’Embraer 190 décolle à la position et au moment qu’il avait estimés. Cette attente était renforcée par ses connaissances lui indiquant que :

• les décollages interrompus à haute vitesse sont rares;
• les aéronefs n’effectuent pas de décollage interrompu après le cabrage;
• jamais au cours de sa carrière il n’avait été témoin d’un décollage interrompu à si haute vitesse ou à ce point de la piste.

D’après ces éléments, la phase de suivi et de confirmation du décollage de l’Embraer 190 était effectivement terminée. Le contrôleur a donc porté son attention vers d’autres tâches, même s’il n’avait pas réellement vu l’Embraer 190 se cabrer. Il en est venu à la conclusion que l’Embraer 190 était en train de se cabrer en se basant sur l’ensemble des indices à sa disposition qui lui indiquaient que son évaluation de la situation était juste.

Le contrôleur a décidé de délivrer l’autorisation de décollage au Boeing 777 plusieurs secondes avant le moment où il prévoyait que l’Embraer 190 serait en vol. L’évaluation de la situation par le contrôleur était conforme à son modèle mental jusqu’au moment où l’impact d’oiseau et les transmissions simultanées non détectées se sont produits. La décision a aussi été influencée par les directives et les procédures du MATS, ainsi que par la vaste expérience du contrôleur.

Dans le cas présent, le contrôleur aurait eu besoin d’indices externes lui indiquant que les événements ne se déroulaient pas conformément à son évaluation. Le contrôleur n’a pas entendu d’appels radio de la part de l’Embraer 190 et il n’a pas reçu d’alertes RIMCAS; ainsi, il n’a reçu aucune indication (sonore ou visuelle) qui aurait pu l’inciter à réévaluer son modèle mental ou ses attentes, ou à modifier son évaluation de la situation ou ses actions. Ces 2 défenses ont fait défaut.

Par conséquent, selon le modèle mental et les attentes du contrôleur, l’aéronef était en train de se cabrer, ce qui voulait dire qu’il pouvait en pratique être considéré comme ayant décollé et qu’il n’avait plus à y porter attention ni à en faire le suivi. Le contrôleur a jugé qu’il s’agissait d’une situation typique et familière, et il a déterminé un plan d’action susceptible de réussir, ce qui lui a permis de porter rapidement son attention vers d’autres tâches et décisions pressantes. Cette décision est conforme au processus décisionnel naturaliste et à la façon dont les experts prennent des décisions rapides et opportunes dans un environnement dynamique soumis à des contraintes de temps. Le contrôleur a déterminé le moment pour délivrer l’autorisation de décollage au Boeing 777 de sorte qu’après avoir relu l’autorisation, l’équipage entamerait sa course au décollage immédiatement après que l’Embraer 190 serait en vol, ce qui satisfaisait aux exigences des procédures du MATS.

2.3 Impact d’oiseau et décollage interrompu de l’Embraer 190

Au moment où l’Embraer 190 a heurté un oiseau pendant sa course au décollage, le contrôleur était en train de délivrer une autorisation de décollage au Boeing 777. À ce moment-là, l’Embraer 190 se déplaçait à une vitesse de 139 KIAS (vitesse indiquée en nœuds), juste en dessous de la vitesse V₁ calculée de 146 KIAS. Le commandant de bord de l’Embraer 190 a amorcé un décollage interrompu et le premier officier a effectué un appel radio, conformément aux procédures de la compagnie. Toute cette séquence d’événements s’est déroulée en 5 secondes.

2.4 Transmissions simultanées non détectées

Les transmissions radio simultanées sont un risque courant dans le secteur de l’aviation. Elles posent un danger, et le risque que des communications importantes ne soient pas entendues est accru lorsque ces transmissions ne sont pas détectées.

Les transmissions radio de l’Embraer 190 et du Boeing 777 ont commencé à 0,1 seconde d’intervalle l’une de l’autre, respectivement 0,6 et 0,7 seconde après que le contrôleur a terminé sa transmission radio pour autoriser le décollage du Boeing 777 :

• À 9 h 48 min 53,4 s, le premier officier de l’Embraer 190 commençait l’appel radio indiquant que l’équipage interrompait le décollage. Cette transmission a duré 3,13 secondes.
• À 9 h 48 min 53,5 s, le premier officier du Boeing 777 commençait la relecture de l’autorisation de décollage. Cette transmission a duré 3,225 secondes.

Les moments de ces appels radio indiquent un chevauchement complet des signaux. En raison de cette transmission simultanée non détectée, ni le contrôleur ni l’équipage de conduite du Boeing 777 n’étaient conscients du conflit, car ils ne savaient pas que l’Embraer 190 effectuait un décollage interrompu.

2.5 Détection du décollage interrompu de l’Embraer 190

Au cours de cet événement, la transmission simultanée non détectée a eu pour conséquence qu’aucun indice sonore n’a alerté le contrôleur ou l’équipage de conduite du Boeing 777 du décollage interrompu. N’ayant pas entendu l’appel radio signalant le décollage interrompu de l’Embraer 190, le contrôleur a poursuivi ses tâches.

Une fois que l’équipage de conduite de l’Embraer 190 a amorcé le décollage interrompu, le contrôleur disposait de certains indices visuels :

• il était possible d’observer l’Embraer 190 en train de décélérer sur la piste;
• il était possible de remarquer la diminution de la vitesse indiquée sur l’étiquette de suivi de l’Embraer 190 sur le poste de travail du contrôleur (CWP).

Puisque le contrôleur exerçait ses fonctions au poste tour nord, il devait effectuer des balayages visuels pour surveiller les seuils des pistes 05 et 06L, l’extrémité départ de la piste 06L, et les écrans de son CWP. Pour faire face soit à la piste 05 et au CWP, soit à la piste 06L, il devait tourner son corps dans la direction opposée, ce qu’il a fait à plusieurs reprises. Cela compliquait la surveillance visuelle des départs d’aéronefs sur la piste 06L en raison des obstructions visuelles présentes lorsqu’il regardait par la fenêtre vers la piste 06L à travers la cabine de la tour.

De plus, lorsque le contrôleur a vu que l’Embraer 190 était sur le point de décoller, et puisqu’à cet instant précis rien ne laissait présager que l’aéronef effectuerait un décollage interrompu, le contrôleur en est venu à la conclusion qu’il n’avait plus à y porter attention ou à en faire le suivi. Il a alors détourné son corps et son attention visuelle et a commencé à se concentrer sur la relecture de l’autorisation de décollage du Boeing 777, sur la surveillance d’un aéronef qui atterrissait sur la piste 05, sur la transmission d’instructions à un aéronef pour qu’il s’aligne sur la piste 06L, puis sur son CWP. Étant donné que le contrôleur avait déjà porté son attention sur les aéronefs qui se posaient sur la piste 05, il avait probablement le dos tourné et ne regardait plus l’extrémité départ de la piste 06L; par conséquent, l’Embraer 190 ne se trouvait plus dans son champ de vision.

Quant aux étiquettes de suivi sur les écrans du CWP, elles sont de petites dimensions, et il est possible qu’un contrôleur ne remarque pas les changements qui se produisent dans l’affichage de la vitesse, de l’altitude ou de l’état de vol d’un aéronef sur ces étiquettes lorsqu’il travaille debout et qu’il regarde à l’extérieur pour contrôler les mouvements des aéronefs. Dans le cas présent, le contrôleur n’a pas remarqué de changement dans la vitesse de l’Embraer 190 après son décollage interrompu.

Enfin, le RIMCAS n’était pas configuré de manière à aider le contrôleur à détecter le conflit qui s’est produit à la suite du décollage interrompu, car il n’a généré aucune alerte (visuelle ou sonore) en temps voulu. (Voir la section 2.6.2 pour l’analyse.)

Après la relecture de son autorisation de décollage, l’équipage de conduite du Boeing 777 a amorcé sa course au décollage. À ce moment-là, l’équipage n’était pas conscient de l’impact d’oiseau ni du décollage interrompu de l’Embraer 190 et n’a pas détecté de risque apparent de collision. L’équipage pouvait voir l’Embraer 190 sur la piste, mais rien ne laissait présager qu’il ne serait pas bientôt en vol étant donné qu’il avait reçu son autorisation de décollage. De plus, puisque l’équipage de conduite du Boeing 777 n’a pas entendu l’appel radio effectué par le premier officier de l’Embraer 190, aucun indice sonore ne l’a alerté du décollage interrompu de l’Embraer 190.

2.6 État en vol et au sol

Lors de l’événement à l’étude, 3 aéronefs se sont trouvés sur la piste en même temps : l’Embraer 190, le Boeing 777 et un de Havilland DHC-8 qui circulait afin de se mettre en position pour le décollage. Le système avancé de guidage et de contrôle de la circulation de surface (A-SMGCS) a généré des alertes seulement après que l’Embraer 190 et le Boeing 777 ont eu tous deux amorcé des procédures d’interruption de décollage. L’enquête a examiné pourquoi aucune alerte de niveau 1 – départ ni aucune alerte de niveau 2 – départ n’a été générée plus tôt dans la séquence des événements. Les sections suivantes discuteront de la logique du système qui a contribué à produire les états en vol et au sol observés au cours de cet événement.

2.6.1 Fonction d’avertissement de suivi de la suite Primus Epic de Honeywell

L’enquête a permis de déterminer que la logique du système du transpondeur mode S modèle XS-857A de Honeywell satisfait aux normes de performances opérationnelles minimales (minimum operational performance standards, MOPS) du document DO-181 intitulé Minimum Operational Performance Standards for Air Traffic Control Radar Beacon System/Mode Select (ATCRBS/Mode S) Airborne Equipment (MOPS DO-181) et, comme prévu à la conception, se sert de l’état en vol et au sol qu’elle reçoit de la MWF de la suite Primus Epic de Honeywell. Bien que la MWF utilise des données reçues des capteurs de référence air-sol, un examen visant à retracer la provenance exacte des données a permis de découvrir que l’état en vol et au sol tirait son origine de la logique de la MWF étant donné que la vérification de validation utilise une vitesse de 50 nœuds.

La logique du système de la suite avionique Primus Epic de Honeywell fait en sorte que le transpondeur mode S modèle XS-857A transmet un état en vol lorsque la vitesse indiquée est supérieure à 50 nœuds, et ce, même si l’aéronef est toujours au sol. Même si l’enquête n’a pas permis de déterminer pourquoi la MWF était réglée à 50 nœuds, cette vitesse seuil est conforme à la norme applicable et aux spécifications techniques, elle était sélectionnée conformément aux exigences de conception et elle ne présentait pas de problème pour les opérations au moment des processus de conception et de certification, soit au début des années 2000. Les MOPS DO-181 indiquent une vitesse de 100 nœuds comme vérification de validation pour remplacer automatiquement un état au sol erroné, mais accepte toute valeur inférieure à 100 nœuds (y compris 50 nœuds).

Des discussions avec Honeywell et Embraer ont permis d’apprendre que la valeur de 50 nœuds avait été retenue lors des processus de conception et de certification pour l’Embraer 190. Cette valeur a probablement été choisie parce qu’il s’agissait d’une vitesse conservatrice permettant d’assurer l’interopérabilité en temps voulu du transpondeur avec les systèmes de surveillance aérienne (comme le système anticollision embarqué [ACAS]) avant le vol pendant l’accélération de l’aéronef lors de sa course au décollage. Les MOPS DO-181 datent du début des années 2000, et donc d’avant l’avènement de systèmes comme l’A-SMGCS et le RIMCAS. À ce moment-là, les MOPS DO-181, les spécifications techniques applicables, les fabricants d’aéronefs et de transpondeurs, et les autres intervenants n’avaient pas prévu que des systèmes de surveillance au sol pourraient utiliser la fonction du transpondeur qui détermine l’état en vol. Même si cette valeur de vitesse satisfait aux normes et aux spécifications techniques applicables et qu’elle constitue un moyen efficace d’assurer l’interopérabilité en temps voulu du transpondeur avec les systèmes de surveillance aérienne avant le vol, elle transmet une information inexacte aux systèmes de surveillance au sol qui doivent déterminer avec exactitude l’état au sol d’un aéronef.

Les transpondeurs à bord de l’Embraer 190 et du Boeing 777 ont fonctionné comme prévu à la conception : ils ont passé à l’état en vol une fois que les aéronefs avaient accéléré et franchi une vitesse seuil pendant le décollage et lorsqu’ils étaient toujours au sol, ce qui les rendait détectables par l’ACAS. Ce fonctionnement correspond à l’intention d’origine du système.

Transports Canada a confirmé que les valeurs de vitesse seuil varient et qu’elles sont généralement établies par le fabricant de l’aéronef. Un seuil de dépassement de 50 nœuds dans la logique du système de l’Embraer 190 est peut-être inhabituellement bas pour un gros aéronef de la catégorie transport, mais d’autres aéronefs peuvent également avoir des seuils de dépassement différents inférieurs à 100 nœuds.

2.6.2 Logique du sous-système de surveillance des incursions sur piste et d’alerte de conflit

Le RIMCAS est conçu pour surveiller les aéronefs et les véhicules et détecter les situations de conflit potentielles afin d’y alerter les contrôleurs de la circulation aérienne. Dans l’événement à l’étude, il a fonctionné comme prévu à la conception; toutefois, puisque le transpondeur a transmis un état inexact, le RIMCAS n’a pas immédiatement détecté le conflit au départ et, par conséquent, le contrôleur n’a pas reçu d’alerte avant que les deux aéronefs n’aient effectué leur décollage interrompu.

Afin de fournir des alertes exactes en temps voulu, le RIMCAS doit pouvoir déterminer correctement l’état d’une cible. Une cible qui est identifiée comme étant en vol sera retirée du groupe de cibles utilisées pour détecter un conflit au départ. Ainsi, il est possible que le RIMCAS n’identifie pas les véhicules ou les aéronefs qui se trouvent au sol à des moments critiques s’il reçoit ou utilise un état en vol ou au sol inexact.

Dans l’événement à l’étude, à 9 h 48 min 30 s, soit 3 secondes après que l’Embraer 190 a accéléré au-delà d’une vitesse sol de 50 nœuds, le dispositif de poursuite multi-capteurs (MST) de l’A-SMGCS a accepté l’état de l’aéronef qui se basait sur la valeur du paramètre « ground bit set » (GBS), et il a identifié, à tort, l’Embraer 190 comme étant en vol. La logique du RIMCAS a par conséquent retiré cette cible radar de la logique de détection de conflit au départ. Quarante-deux secondes plus tard, lorsque le Boeing 777 accélérait sur la piste, les critères pour générer une alerte de niveau 2 – départ auraient dû être satisfaits; cependant, puisque l’Embraer 190 était encore identifié comme étant en vol, le RIMCAS n’a pas détecté de conflit au départ. Le Boeing 777 a amorcé son décollage interrompu 12,5 secondes plus tard.

Le RIMCAS a généré une alerte concernant ces 2 aéronefs à 9 h 49 min 43 s, lorsque l’Embraer 190 et le Boeing 777 ont tous deux satisfait aux critères d’un état au sol.

L’enquête a pu déterminer que le RIMCAS se basait sur la valeur GBS pour la détection et les alertes de conflit automatisées, et ce, malgré les limites relatives à l’exactitude des données. Cependant, l’enquête n’a pas été en mesure d’établir la raison du choix de ces valeurs par défaut pour le RIMCAS, ni l’ampleur des répercussions si ces paramètres étaient modifiés et que le passage à l’état en vol était retardé au décollage.

Le RIMCAS peut être configuré de manière à contourner ces limites, mais cela peut provoquer de fausses alarmes, ce qui pourrait entraîner une perte de confiance du contrôleur envers le sous-système.

La vitesse de 100 nœuds recommandée par les MOPS DO-181 comme point de transition de l’état au sol à l’état en vol aide à assurer l’interopérabilité en temps voulu d’un transpondeur d’aéronef avec les systèmes de surveillance aérienne avant que l’aéronef décolle. Cependant, les intrants de données (comme les messages de réponse mode S, les valeurs MWF ou les valeurs GBS) qui utilisent une valeur de vitesse peuvent fournir des données inexactes aux systèmes de surveillance au sol ou aux systèmes automatisés de surveillance des incursions sur piste, comme le RIMCAS.

Cette enquête s’est penchée principalement sur les inexactitudes qui ont été décelées dans l’état en vol de l’Embraer 190 et du RIMCAS. L’Embraer 190 a été identifié comme étant en vol pendant environ 52 secondes, même s’il est resté au sol. Des simulations et un examen des données de vol montrent que même en utilisant la vitesse indiquée de 100 nœuds recommandée par les MOPS DO-181, l’Embraer 190 aurait été identifié comme étant en vol pendant environ 19 secondes.

Toutefois, le fait que l’état en vol et au sol du Boeing 777 était également inexact est tout aussi important. L’état du Boeing 777 est passé à « en vol » à 9 h 49 min 20 s après qu’il eut accéléré au-delà de 100 nœuds pendant sa course au décollage, et cet état est demeuré inchangé pendant environ 23 secondes même si l’aéronef est resté au sol. Bien que l’enquête n’ait pas examiné les systèmes avioniques ou le transpondeur du Boeing 777, elle a toutefois montré que ces systèmes identifieront, à tort, qu’un aéronef est en vol si une vitesse de 100 nœuds est utilisée comme vitesse standard recommandée (conformément aux MOPS DO-181) et que l’aéronef accélère au-delà de cette vitesse sans quitter le sol.

Lors de l’événement à l’étude, les systèmes de surveillance au sol et les systèmes automatisés de surveillance des incursions sur piste, comme le RIMCAS, se basaient sur l’exactitude de la valeur GBS reçue des transpondeurs des aéronefs. Or, le RIMCAS peut se servir d’autres données disponibles pour déterminer si un aéronef est au sol ou en vol. Comme l’a montré cet événement, les données de la fonction d’état au sol de l’aéronef ou du transpondeur étaient inexactes et indiquaient un état en vol quand l’aéronef était au sol. Se basant sur cette information inexacte, le RIMCAS a déterminé que l’Embraer 190 était en vol depuis un certain temps alors qu’il était encore sur la piste. Cette même détermination du RIMCAS a fait que l’écran du contrôleur a indiqué que le Boeing 777 était en vol pendant 23 secondes alors qu’il est aussi resté sur la piste pendant toute la durée de l’événement. Si des données plus exactes sur l’état des aéronefs étaient disponibles, ces systèmes pourraient mieux déterminer l’état au sol d’un aéronef et générer des alertes exactes et opportunes.

En plus des inexactitudes susmentionnées, le RIMCAS était également sujet à des latences internes. Alors que l’Embraer 190 décélérait et que sa vitesse indiquée passait sous les 50 nœuds, son GBS provenant du système de multilatération est passé de l’état en vol à l’état au sol. Cependant, le MST a retardé de 6 secondes supplémentaires le changement de l’état de vol de la cible (annexe A) ^{Note de bas de page 69}. Ce retard a également été observé lors de la décélération du Boeing 777, où le MST a aussi mis 11 secondes avant de faire passer l’état du Boeing 777 à un état au sol. Ces retards étaient dus au fait que le paramètre de vitesse sol dans le RIMCAS était réglé à une vitesse de 10 nœuds inférieure à la vitesse de décollage ou au paramètre « Minimum speed for takeoff when GBS is OK » de 50 nœuds. Ces valeurs sont établies selon les recommandations d’Indra Navia AS à la suite d’un processus de réglage et d’optimisation local avec le client.

2.7 Décollage interrompu du Boeing 777

Lorsque l’équipage de conduite du Boeing 777 a détecté que l’Embraer 190 avait interrompu son décollage et qu’il décélérait sur la piste en service, il a lui-même interrompu son décollage et a considérablement diminué la gravité de cette incursion sur piste. Le Boeing 777 a atteint une vitesse de 133 KIAS avant de décélérer. À ce moment-là, le Boeing 777 et l’Embraer 190 étaient espacés de 5000 pieds, et cette distance diminuait.

Les défenses en place incluaient des barrières de sécurité techniques (comme l’utilisation de radios et l’interopérabilité entre les transpondeurs et le RIMCAS) et des barrières de sécurité procédurales (comme les procédures d’exploitation de l’aérodrome, du contrôle de la circulation aérienne, de la compagnie aérienne et du pilote).

Un certain nombre de ces moyens de défense ont fait défaut après l’impact d’oiseau, le décollage interrompu de l’Embraer 190 et les transmissions simultanées non détectées, mais il restait un moyen de défense en place : l’espacement visuel maintenu par l’équipage de conduite du Boeing 777. Le risque de collision a été réduit lorsque l’équipage de conduite du Boeing 777 a lui aussi interrompu son décollage.

3.1 Faits établis quant aux causes et aux facteurs contributifs

Il s’agit des conditions, actes ou lacunes de sécurité qui ont causé l’événement ou y ont contribué.

1. Afin d’assurer un débit rapide de la circulation, le contrôleur utilisait des procédures d’espacement visuel au départ appliqué par le pilote conformément au Manuel des services de la circulation aérienne de NAV CANADA. Dans l’événement à l’étude, les opérations effectuées selon la procédure d’espacement visuel au départ appliqué par le pilote étaient optimisées à un tel point que l’espacement n’a pas été assuré.
2. Étant donné la vitesse et la position de l’Embraer 190 sur la piste, le contrôleur ne s’attendait pas à ce qu’il effectue un décollage interrompu à haute vitesse. Le contrôleur a jugé que l’aéronef était en train de décoller et qu’il n’avait plus à y porter attention ni à en faire le suivi. Le contrôleur a donc délivré l’autorisation de décollage au Boeing 777 même si l’Embraer 190 se trouvait toujours sur la piste.
3. L’Embraer 190 a heurté un oiseau et a effectué un décollage interrompu à un point critique de sa course au décollage, juste avant que le Boeing 777 ne reçoive l’autorisation de décollage et qu’il amorce sa propre course au décollage.
4. Le premier officier de l’Embraer 190 a effectué un appel radio pour signaler le décollage interrompu, mais cet appel n’a été détecté ni par le contrôleur ni par l’équipage de conduite du Boeing 777, étant donné le chevauchement avec l’appel radio du premier officier du Boeing 777 qui relisait l’autorisation de décollage. Par conséquent, ni le contrôleur ni l’équipage de conduite du Boeing 777 ne savaient que l’Embraer 190 interrompait son décollage.
5. Étant donné que le contrôleur s’attendait à ce que l’Embraer 190 effectue son décollage sans l’interrompre, il a porté son attention vers d’autres mouvements d’aéronefs et s’est concentré en priorité sur ceux-ci. Le fait de se concentrer sur ces tâches, combiné à l’exercice de ses fonctions au poste tour nord, a réduit les possibilités que le contrôleur détecte le décollage interrompu de l’Embraer 190 et a retardé la prise de mesures en réponse au conflit.
6. L’équipage de conduite du Boeing 777 a vu l’Embraer 190, croyait qu’il serait bientôt en vol et n’a pas détecté de risque apparent de collision. Il n’était toutefois pas conscient que l’Embraer 190 effectuait un décollage interrompu et décélérait. Conformément à l’autorisation reçue, l’équipage de conduite du Boeing 777 a amorcé sa course au décollage pendant que l’Embraer 190 se trouvait toujours sur la piste, ce qui a donné lieu à une incursion sur piste et un risque de collision.
7. Le transpondeur de l’Embraer 190 a transmis une indication que l’aéronef était en vol après qu’il eut accéléré au-delà de 50 nœuds. Par conséquent, même si l’indication respectait les normes en vigueur, un état de vol inexact a été transmis pendant environ 52 secondes alors que l’aéronef est demeuré au sol pendant sa course au décollage et son décollage interrompu.
8. Le sous-système de surveillance des incursions sur piste et d’alerte de conflit (RIMCAS) se base sur des données provenant de systèmes d’aéronefs conçus pour fournir aux systèmes de surveillance aérienne des données sur l’état de vol des aéronefs. L’utilisation de ces données par le RIMCAS a fait en sorte que l’Embraer 190 et le Boeing 777 ont été identifiés, à tort, comme étant en vol alors que ces 2 aéronefs étaient toujours au sol. Par conséquent, le RIMCAS a généré des alertes tardives et inexactes, ce qui a retardé la prise de mesures en réponse au risque de collision.
9. Un risque de collision est survenu lorsque le Boeing 777 qui se déplaçait à une vitesse indiquée de 133 nœuds en accélération se trouvait à environ 5000 pieds de l’Embraer 190 qui décélérait. Le risque a été réduit lorsque l’équipage de conduite du Boeing 777 a interrompu son décollage après avoir constaté que l’Embraer 190 se trouvait toujours sur la piste devant lui.

3.2 Faits établis quant aux risques

Il s’agit des conditions, des actes dangereux, ou des lacunes de sécurité qui n’ont pas été un facteur dans cet événement, mais qui pourraient avoir des conséquences néfastes lors de futurs événements.

1. Si la logique qui détermine l’état de vol dans le sous-système de surveillance des incursions sur piste et d’alerte de conflit (RIMCAS) a une latence de plusieurs secondes, les retards que cela entraîne dans la détection de conflits augmentent le risque que les alertes du RIMCAS soient inefficaces.

4.1 Mesures de sécurité prises

4.1.1 Bureau de la sécurité des transports du Canada

Le 30 novembre 2020, le BST a publié l’Avis de sécurité aérienne A20O0029-D1-A1 ^{Note de bas de page 70} afin de souligner l’importance de la validation et de la transmission de données exactes relatives aux états de vol par les transpondeurs, ainsi que de la manière dont ces données sont reçues, validées et utilisées par les systèmes de surveillance des pistes et d’alerte de conflit (RMCA) afin de pouvoir en tirer le meilleur parti au point de vue de la sécurité.

L’avis de sécurité encourageait les fabricants de transpondeurs d’aéronefs et de systèmes avancés de guidage et de contrôle de la circulation de surface (A-SMGCS) avec systèmes RMCA, ainsi que les autorités de certification et les fournisseurs de services de la circulation aérienne, à travailler ensemble pour s’assurer que ces systèmes interagissent de manière efficace pour la transmission, la réception et la validation d’un état en vol exact et que les alertes fonctionnent comme prévu afin de réduire le risque de collision sur les pistes.

4.1.2 NAV CANADA

Le 8 décembre 2020, NAV CANADA a publié le bulletin d’information urgent ATCI - ATC 2020-003 pour l’ensemble du personnel de la tour de Toronto. Le bulletin visait à mettre en garde les contrôleurs quant au fait que les alertes de niveaux 1 et 2 du sous-système de surveillance des incursions sur piste et d’alerte de conflit (RIMCAS) pouvaient ne pas être générées au décollage des aéronefs E-Jet d’Embraer et de certains aéronefs construits par Dassault, Gulfstream, Learjet et Textron Aviation (auparavant Cessna). Le bulletin signalait également qu’il était possible que des alertes de niveaux 1 et 2 ne soient pas générées dans le cas d’aéronefs ou de véhicules en approche de la piste en service lors du décollage de l’un de ces types d’aéronefs, et rappelait d’assurer une surveillance étroite de ces situations.

4.1.3 Transports Canada

Le 3 mai 2021, Transports Canada a publié l’Alerte à la sécurité de l’Aviation civile (ASAC) 2021-03^{Note de bas de page 71} qui visait à signaler aux propriétaires d’aéronefs, aux exploitants et aux fournisseurs de services de navigation aérienne la possibilité qu’un état en vol inexact puisse être transmis par les transpondeurs et l’effet d’un tel état sur les systèmes de surveillance des pistes et d’alerte de conflit.

Le 20 décembre 2021, Transports Canada a publié une mise à jour de l’ASAC 2021-03. Les changements contenus dans cette mise à jour portaient sur la variabilité possible des seuils établis pour l’état en vol des aéronefs transmis par les transpondeurs, sur leur variabilité d’un aéronef à l’autre, et sur la possibilité pour les fabricants d’équipement d’origine, et pas spécifiquement les fabricants de transpondeurs, d’ajuster ces seuils.

Le présent rapport conclut l’enquête du Bureau de la sécurité des transports du Canada sur cet événement. Le Bureau a autorisé la publication de ce rapport le 16 mars 2022. Le rapport a été officiellement publié le 14 juin 2022.

Annexe A – Graphique illustrant les paramètres d’espacement et le délai entre les indications pour l’Embraer 190 du dispositif de poursuite multi-capteurs (ligne intitulée MST AIR/GROUND) et du système de multilatération (ligne intitulée MLAT GBS)

Source : BST

Annexe B – Graphique illustrant le temps approximatif où l’Embraer 190 est identifié comme étant en vol à 50 et 100 nœuds

[traduction] Selon les données de décollage de l’Embraer 190 provenant du tableau MLAT et un scénario de transition air-sol réglé à 100 nœuds, l’état en vol serait affiché sur le RIMCAS pendant environ 19 secondes. Par conséquent, l’augmentation, de 50 à 100 nœuds, de la logique de la transition air-sol du transpondeur peut réduire le temps d’affichage, mais n’éliminerait pas la condition d’un état en vol sur le RIMCAS pendant les décollages interrompus.

Source : Centre d'enquête et de prévention des accidents aéronautiques du Brésil